CVE-2020-28035

Privilege escalation w WordPress przez XML-RPC (przed wersją 5.5.2)

CVSS 9.8v3.1pub. 2020-11-02upd. 2024-11-21

WordPress w wersjach przed 5.5.2 zawiera krytyczną podatność umożliwiającą atakującym nieuprawnione podniesienie uprawnień za pośrednictwem interfejsu XML-RPC. Podatność nie wymaga uwierzytelnienia ani interakcji użytkownika, co czyni ją wyjątkowo niebezpieczną.

▸ Pokaż oryginał (EN)

WordPress before 5.5.2 allows attackers to gain privileges via XML-RPC.

🤖 Analiza AI

Jak działa

Podatność polega na tym, że interfejs XML-RPC w WordPress przed wersją 5.5.2 umożliwia atakującemu uzyskanie podwyższonych uprawnień. Atakujący może zdalnie wysyłać odpowiednio spreparowane żądania XML-RPC bez konieczności posiadania konta ani żadnej autoryzacji. Szczegółowy mechanizm techniczny nie został ujawniony w publicznym opisie, jednak wysoki wynik CVSS (9.8) wskazuje na pełne zagrożenie poufności, integralności oraz dostępności systemu.

Skutki

Atakujący może uzyskać nieautoryzowane, podwyższone uprawnienia w atakowanej instancji WordPress, co może prowadzić do przejęcia kontroli nad witryną, modyfikacji treści, wycieku danych lub dalszego kompromitowania serwera.

Mitygacja

Należy zaktualizować WordPress do wersji 5.5.2 lub nowszej zgodnie z oficjalnym komunikatem producenta (wordpress.org). Użytkownicy dystrybucji Debian i Fedora powinni zastosować patche dostępne w repozytoriach swoich dystrybucji zgodnie z referencjami. Jeśli aktualizacja nie jest natychmiast możliwa, zaleca się rozważenie wyłączenia lub ograniczenia dostępu do interfejsu XML-RPC na poziomie serwera WWW lub firewall.

Kogo dotyczy

WordPress w wersjach przed 5.5.2, a także pakiety WordPress dystrybuowane w ramach Debian Linux oraz Fedora (w wersjach objętych stosownymi komunikatami bezpieczeństwa wymienionych dystrybucji).

Uwagi

Podatność została naprawiona w ramach wydania WordPress 5.5.2 Security and Maintenance Release, opublikowanego w październiku 2020 roku, zgodnie z oficjalnym komunikatem producenta.