Kritické zraniteľnosti vo WordPress plugine Spam Protection, Anti-Spam, FireWall

Vývojári WordPress pluginu Spam Protection, Anti-Spam, FireWall vydali bezpečnostné aktualizácie, ktoré opravujú 2 kritické zraniteľnosti. Zraniteľnosti s označením CVE-2024-10542 a CVE-2024-10781 možno zneužiť na inštaláciu, odstránenie, aktiváciu a deaktiváciu ľubovoľných pluginov redakčného systému a následné získanie úplnej kontroly nad systémom.

Zraniteľné systémy:

  • WordPress plugin Spam Protection, Anti-Spam, FireWall vo verziách 6.44 a starších

Opis zraniteľnosti:

CVE-2024-10542 (CVSS skóre 9,8)

Kritickú zraniteľnosť vo funkcii checkWithoutToken by vzdialený neautentifikovaný útočník prostredníctvom DNS spoofingu mohol zneužiť na obídenie mechanizmov autentifikácie a následnú inštaláciu a aktiváciu pluginov redakčného systému.

CVE-2024-10781 (CVSS skóre 9,8)

Zraniteľnosť CVE-2024-10781 vo funkcii perform spočíva v nedostatočnom overovaní hodnôt premennej api_key a možno ju zneužiť na obídenie mechanizmov autentifikácie a následnú inštaláciu a aktiváciu pluginov redakčného systému.

Pozn. Aktiváciou ľubovoľných pluginov možno dosiahnuť vzdialené vykonanie kódu a získanie úplnej kontroly nad systémom.

Možné škody:

  • Neoprávnená zmena v systéme
  • Vykonávanie škodlivého kódu
  • Získanie úplnej kontroly nad systémom

Odporúčania:

Bezodkladná aktualizácie zásuvného modulu Spam Protection, Anti-Spam, FireWall na verziu 6.45.

Zdroje: