CVE-2023-5201
KrytyczneStreszczenie
Wtyczka OpenHook dla WordPressa jest podatna na zdalne wykonanie kodu w wersjach do 4.3.0 włącznie, poprzez shortcode 'php'. Umożliwia to uwierzytelnionym atakującym z uprawnieniami na poziomie subskrybenta lub wyższymi, wykonanie kodu na serwerze, pod warunkiem, że ustawienie shortcode [php] jest włączone na podatnej stronie.
Ocena ryzyka
Podatność ta stwarza poważne ryzyko dla organizacji, ponieważ umożliwia atakującym z odpowiednimi uprawnieniami zdalne wykonanie dowolnego kodu na serwerze, co może prowadzić do przejęcia kontroli nad systemem.
Rekomendacja
Zaleca się natychmiastowe zaktualizowanie wtyczki OpenHook do najnowszej wersji oraz wyłączenie ustawienia shortcode [php] na podatnych stronach, aby zminimalizować ryzyko.
Oryginalny opis (angielski, źródło NVD)
The OpenHook plugin for WordPress is vulnerable to Remote Code Execution in versions up to, and including, 4.3.0 via the 'php' shortcode. This allows authenticated attackers with subscriber-level permissions or above, to execute code on the server. This requires the [php] shortcode setting to be enabled on the vulnerable site.