admin 
Naujai atskleistas saugos pažeidžiamumas paveikia „BuddyPress“ papildinį, „WordPress“ papildinį, įdiegtą daugiau nei 100 000 svetainių. Dėl pažeidžiamumo, kurio grėsmės lygis yra 7,3 (aukštas), neautentifikuoti užpuolikai gali vykdyti savavališkus trumpuosius kodus.
BuddyPress WordPress įskiepis
„BuddyPress“ papildinys leidžia „WordPress“ svetainėms kurti bendruomenės funkcijas, tokias kaip vartotojų profiliai, veiklos srautai, asmeniniai pranešimai ir grupės. Jis dažniausiai naudojamas narystės svetainėse ir internetinėse bendruomenėse ir yra įdiegtas daugiau nei 100 000 „WordPress“ svetainių.
„BuddyPress“ turi gerus pažeidžiamumo rezultatus. Per visus 2025 metus buvo pranešta tik apie vieną pažeidžiamumą, kuris buvo palyginti nedidelis vidutinės grėsmės pažeidžiamumas, įvertintas 5,3 grėsmės lygiu skalėje nuo 1 iki 10.
Neautentifikuotas savavališkas trumpojo kodo vykdymas
Pažeidžiamumu gali pasinaudoti neautentifikuoti užpuolikai. Užpuolikui nereikia „WordPress“ paskyros ar bet kokio vartotojo prieigos lygio, kad kiltų problema.
„BuddyPress“ papildinys yra pažeidžiamas dėl savavališko trumpojo kodo vykdymo visose versijose iki 14.3.3 imtinai. Tai reiškia, kad užpuolikas svetainėje gali vykdyti trumpuosius kodus. „WordPress“ naudoja trumpuosius kodus, kad puslapiuose ir įrašuose būtų dinamiškos funkcijos. Kadangi papildinys tinkamai nepatvirtina įvesties prieš vykdydamas trumpuosius kodus, užpuolikai gali priversti svetainę paleisti trumpuosius kodus, kurių jie neturi teisės naudoti.
Pažeidžiamumą sukelia trūkstamas patvirtinimas prieš vartotojo pateiktą įvestį perduodant funkcijai do_shortcode.
Wordfence aprašė problemą:
„BuddyPress įskiepis, skirtas WordPress, yra pažeidžiamas dėl savavališko trumpojo kodo vykdymo visose versijose iki 14.3.3. Taip yra dėl to, kad programinė įranga leidžia vartotojams atlikti veiksmą, kuris netinkamai patvirtina vertę prieš paleidžiant do_shortcode. Dėl to neautentifikuoti užpuolikai gali vykdyti savavališkus trumpuosius kodus.
Tai reiškia, kad užpuolikai gali suaktyvinti trumpąjį kodą, kuris savo ruožtu atliks bet kokį veiksmą, kurį jis turėtų atlikti, o tai blogiausiu atveju gali atskleisti apribotas svetainės funkcijas ar funkcionalumą. Atsižvelgiant į svetainėje pasiekiamus trumpuosius kodus, tai gali leisti užpuolikams pasiekti neskelbtiną informaciją, keisti svetainės turinį arba neplanuotai sąveikauti su kitais papildiniais.
Pažeidžiamumas nepriklauso nuo specialių serverio nustatymų ar pasirenkamų konfigūracijų. Paveikta bet kuri svetainė, kurioje veikia pažeidžiama papildinio versija.
Problema buvo pataisyta BuddyPress 14.3.4 versijoje. Papildinio naudotojai turėtų atnaujinti į 14.3.4 ar naujesnę versiją, kad ištaisytų pažeidžiamumą.
Teminis vaizdas, sukurtas Shutterstock / Login
