Kritická zraniteľnosť v doplnku WordPress WPML

Vývojári populárneho doplnku WordPress WPML slúžiaceho na vytváranie viacjazyčných stránok vydali bezpečnostné aktualizácie, ktoré opravujú kritickú zraniteľnosť. Zraniteľnosť s označením CVE-2024-6386 umožňuje vykonanie škodlivého kódu a získanie úplnej kontroly nad inštanciou redakčného systému WordPress.

Zraniteľné systémy:

  • WordPress doplnok WPML vo verzii staršej ako 4.6.13

Opis zraniteľnosti:

CVE-2024-6386 (CVSS skóre 9,9)

Zraniteľnosť spočíva v nedostatočnom overovaní používateľských vstupov v rámci šablón Twig a vzdialený autentifikovaný útočník s oprávneniami Contributor by ich mohol zneužiť na realizáciu útokov SSTI (Server Side Template Injection) vedúcich k vykonaniu škodlivého kódu. Na uvedenú zraniteľnosť je v súčasnosti verejne dostupný proof-of-concept kód demonštrujúci návod na jej zneužitie.

Možné škody:

  • Vykonanie škodlivého kódu
  • Získanie úplnej kontroly nad systémom

Odporúčania:

Administrátorom odporúčame bezodkladnú aktualizáciu doplnku WPML na verziu 4.6.13 a novšiu. V rámci preventívnych opatrení odporúčame pravidelnú aktualizáciu redakčného systému a všetkých používaných pluginov.

Zdroje: