CVE-2020-28036

WordPress: privilege escalation przez XML-RPC przy komentowaniu wpisów

CVSS 9.8v3.1pub. 2020-11-02upd. 2024-11-21

Podatność w pliku wp-includes/class-wp-xmlrpc-server.php w WordPress przed wersją 5.5.2 umożliwia nieuwierzytelnionym atakującym uzyskanie podwyższonych uprawnień. Brak odpowiedniej kontroli autoryzacji (CWE-862) sprawia, że exploit może zostać przeprowadzony zdalnie bez żadnych poświadczeń.

▸ Pokaż oryginał (EN)

wp-includes/class-wp-xmlrpc-server.php in WordPress before 5.5.2 allows attackers to gain privileges by using XML-RPC to comment on a post.

🤖 Analiza AI

Jak działa

Podatność wynika z braku wymaganych kontroli autoryzacji w obsłudze interfejsu XML-RPC, konkretnie w mechanizmie dodawania komentarzy do wpisów. Atakujący może wysłać specjalnie spreparowane żądanie XML-RPC do endpointu serwera WordPress, co pozwala na wykonanie operacji z uprawnieniami wyższymi niż przysługują żądającemu. Podatny kod znajduje się w pliku wp-includes/class-wp-xmlrpc-server.php.

Skutki

Atakujący może uzyskać nieautoryzowane podwyższenie uprawnień w systemie WordPress, co zagraża poufności, integralności i dostępności danych (wszystkie ocenione jako HIGH w wektorze CVSS).

Mitygacja

Należy zaktualizować WordPress do wersji 5.5.2 lub nowszej. Użytkownicy dystrybucji Debian Linux i Fedora powinni zastosować patche dostępne w ramach aktualizacji systemowych zgodnie z opublikowanymi biuletynami bezpieczeństwa tych dystrybucji.

Kogo dotyczy

WordPress przed wersją 5.5.2, a także pakiety WordPress dystrybuowane przez Debian Linux oraz Fedora (w wersjach objętych komunikatami bezpieczeństwa tych dystrybucji).