CVE-2023-4994
CriticalSummary
Wtyczka Allow PHP in Posts and Pages dla WordPressa jest podatna na zdalne wykonanie kodu w wersjach do 3.0.4 włącznie, poprzez użycie shortcode 'php'. Umożliwia to uwierzytelnionym atakującym z uprawnieniami na poziomie subskrybenta lub wyższymi, wykonanie kodu na serwerze.
Risk Assessment
Podatność ta stwarza poważne ryzyko dla organizacji, ponieważ umożliwia atakującym z odpowiednimi uprawnieniami zdalne wykonanie dowolnego kodu na serwerze, co może prowadzić do przejęcia kontroli nad systemem.
Recommendation
Zaleca się aktualizację wtyczki do najnowszej wersji, aby usunąć tę podatność oraz przegląd uprawnień użytkowników, aby ograniczyć dostęp do funkcji wykonania kodu.
Original NVD description (English source)
The Allow PHP in Posts and Pages plugin for WordPress is vulnerable to Remote Code Execution in versions up to, and including, 3.0.4 via the 'php' shortcode. This allows authenticated attackers with subscriber-level permissions or above, to execute code on the server.