Kritična sigurnosna greška otkrivena je u višejezičnom dodatku WPML WordPress koji bi mogao omogućiti autentifikovanim korisnicima da izvršavaju proizvoljni kod na daljinu pod određenim okolnostima.
Ranjivost, praćena kao CVE-2024-6386 (CVSS rezultat: 9,9), utiče na sve verzije dodatka pre 4.6.13, koji je objavljen 20. avgusta 2024.
Nastao zbog nedostajuće validacije unosa i saniranja, problem omogućava autentifikovanim napadačima, sa pristupom na nivou saradnika i iznad, da izvrše kod na serveru.
WPML je popularan dodatak koji se koristi za izgradnju višejezičnih WordPress stranica. Ima preko milion aktivnih instalacija.
Istraživač sigurnosti stealthcopter, koji je otkrio i prijavio CVE-2024-6386, rekao je da problem leži u rukovanju plugin kratkim kodovima koji se koriste za umetanje sadržaja objave kao što su audio, slike i video zapisi.
“Konkretno, dodatak koristi Twig šablone za prikazivanje sadržaja u kratkim kodovima, ali ne uspijeva pravilno sanirati unos, što dovodi do ubrizgavanja šablona na strani servera (SSTI)”, rekao je istraživač .
SSTI, kao što naziv implicira, nastaje kada napadač može koristiti sintaksu izvornog predloška da ubaci zlonamjerno opterećenje u web šablon, koji se zatim izvršava na serveru. Napadač bi tada mogao da iskoristi nedostatak za izvršenje proizvoljnih komandi, efektivno omogućavajući im da preuzmu kontrolu nad lokacijom.
“Ovo WPML izdanje popravlja sigurnosnu ranjivost koja bi mogla omogućiti korisnicima s određenim dozvolama da izvode neovlaštene radnje”,
rekli su održavatelji dodataka, OnTheGoSystems . “Malo je vjerovatno da će se ovaj problem pojaviti u stvarnim scenarijima. Zahtijeva od korisnika da imaju dozvole za uređivanje u WordPress-u, a stranica mora koristiti vrlo specifično podešavanje.”
Izvor: TheHackerNews