CVE-2023-4994

Krytyczne

Opublikowano: 16/09/2023(UTC)Przetłumaczono: 30/05/2026(UTC)NVD NIST

Streszczenie

Wtyczka Allow PHP in Posts and Pages dla WordPressa jest podatna na zdalne wykonanie kodu w wersjach do 3.0.4 włącznie, poprzez użycie shortcode 'php'. Umożliwia to uwierzytelnionym atakującym z uprawnieniami na poziomie subskrybenta lub wyższymi, wykonanie kodu na serwerze.

Ocena ryzyka

Podatność ta stwarza poważne ryzyko dla organizacji, ponieważ umożliwia atakującym z odpowiednimi uprawnieniami zdalne wykonanie dowolnego kodu na serwerze, co może prowadzić do przejęcia kontroli nad systemem.

Rekomendacja

Zaleca się aktualizację wtyczki do najnowszej wersji, aby usunąć tę podatność oraz przegląd uprawnień użytkowników, aby ograniczyć dostęp do funkcji wykonania kodu.

Oryginalny opis (angielski, źródło NVD)

The Allow PHP in Posts and Pages plugin for WordPress is vulnerable to Remote Code Execution in versions up to, and including, 3.0.4 via the 'php' shortcode. This allows authenticated attackers with subscriber-level permissions or above, to execute code on the server.