CVE-2023-3958

WysokieCVSS 8.5

Opublikowano: 16/08/2023(UTC)Zaktualizowano: 17/06/2026(UTC)Przetłumaczono: 18/06/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.54%

Percentyl 41 - wyżej niż 41% wszystkich znanych CVE

Streszczenie

Wtyczka WP Remote Users Sync dla WordPressa jest podatna na atak typu Server Side Request Forgery poprzez funkcję AJAX 'notify_ping_remote' w wersjach do 1.2.12 włącznie. Umożliwia to uwierzytelnionym atakującym z uprawnieniami na poziomie subskrybenta lub wyższymi wykonywanie żądań webowych do dowolnych lokalizacji, co może prowadzić do zapytań i modyfikacji informacji z wewnętrznych usług.

Ocena ryzyka

Atakujący mogą wykorzystać tę podatność do uzyskania dostępu do wrażliwych danych lub usług wewnętrznych, co stwarza poważne zagrożenie dla bezpieczeństwa organizacji.

Rekomendacja

Zaleca się aktualizację wtyczki do wersji 1.2.13 lub nowszej, aby usunąć tę podatność.

Inne podatności w WP Remote Users Sync plugin for WordPress

CVE-2023-4374Średnie
Wtyczka WP Remote Users Sync dla WordPressa jest podatna na nieautoryzowany dostęp do danych oraz ich dodawanie z powodu braku weryfikacji uprawnień w funkcjach 'refresh_logs_async' w wersjach do 1.2.11 włącznie. Umożliwia to uwierzytelnionym atakującym z uprawnieniami subskrybenta lub wyższymi przeglądanie logów.

Oryginalny opis (angielski, źródło NVD)

The WP Remote Users Sync plugin for WordPress is vulnerable to Server Side Request Forgery via the 'notify_ping_remote' AJAX function in versions up to, and including, 1.2.12. This can allow authenticated attackers with subscriber-level permissions or above to make web requests to arbitrary locations originating from the web application and can be used to query and modify information from internal services. This was partially patched in version 1.2.12 and fully patched in version 1.2.13.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS