Kritické zraniteľnosti vo WordPress plugine Spam Protection, Anti-Spam, FireWall
Vývojári WordPress pluginu Spam Protection, Anti-Spam, FireWall vydali bezpečnostné aktualizácie, ktoré opravujú 2 kritické zraniteľnosti. Zraniteľnosti s označením CVE-2024-10542 a CVE-2024-10781 možno zneužiť na inštaláciu, odstránenie, aktiváciu a deaktiváciu ľubovoľných pluginov redakčného systému a následné získanie úplnej kontroly nad systémom.
Zraniteľné systémy:
- WordPress plugin Spam Protection, Anti-Spam, FireWall vo verziách 6.44 a starších
Opis zraniteľnosti:
CVE-2024-10542 (CVSS skóre 9,8)
Kritickú zraniteľnosť vo funkcii checkWithoutToken by vzdialený neautentifikovaný útočník prostredníctvom DNS spoofingu mohol zneužiť na obídenie mechanizmov autentifikácie a následnú inštaláciu a aktiváciu pluginov redakčného systému.
CVE-2024-10781 (CVSS skóre 9,8)
Zraniteľnosť CVE-2024-10781 vo funkcii perform spočíva v nedostatočnom overovaní hodnôt premennej api_key a možno ju zneužiť na obídenie mechanizmov autentifikácie a následnú inštaláciu a aktiváciu pluginov redakčného systému.
Pozn. Aktiváciou ľubovoľných pluginov možno dosiahnuť vzdialené vykonanie kódu a získanie úplnej kontroly nad systémom.
Možné škody:
- Neoprávnená zmena v systéme
- Vykonávanie škodlivého kódu
- Získanie úplnej kontroly nad systémom
Odporúčania:
Bezodkladná aktualizácie zásuvného modulu Spam Protection, Anti-Spam, FireWall na verziu 6.45.
Zdroje: