CVE-2024-43153 & CVE-2024-43234

Patchstack 在广泛使用的 Woffice WordPress 主题中披露了两个关键漏洞,该主题是一种高级内联网/外联网解决方案,销售量超过 15000 个。Woffice 主题由 Xtendify 开发,提供团队和项目管理功能,是高级业务工作流程的热门选择。然而,最近发现的这些漏洞被评为 CVSS 9.8 严重级别,给受影响的网站带来了巨大的安全风险。

Patchstack 在该主题功能所需的 Woffice Core 插件中发现了两个关键漏洞:

权限升级漏洞 (CVE-2024-43153): 该漏洞允许未经身份验证的用户在受影响的网站上注册任何角色,包括权限极高的管理员角色。据报告称,“该漏洞可能导致攻击者完全接管网站并在服务器上安装恶意代码”。该问题存在于位于 inc/classes/Woffice_Register.php 文件中的注册函数中。当启用 Woffice 的自定义登录选项(如自动登录和表单中的角色字段)时,攻击者可在 $_POST[“reg_role”] 参数中提交任意角色,从而获得更高的权限。

未经身份验证的账户接管 (CVE-2024-43234): 该漏洞利用被破坏的身份验证机制,使攻击者能够在未经授权的情况下以任何现有用户的身份登录。该漏洞与同一 Woffice_Register.php 文件中的 register_redirect 函数有关。攻击者通过从自定义注册页面提取 WofficeRegisterRedirect 安全非密钥,并发送带有非密钥和 $_POST[‘user_id’] 设置为现有用户 ID(例如,管理员为 1)的请求,即可获得未经授权的访问权限。

这两个漏洞一旦被利用,可能会导致整个网站受到攻击,部署恶意代码,并给使用该主题的企业带来潜在的声誉和经济损失。

Woffice的开发商Xtendify已分别在5.4.12和5.4.15版本中解决了这些漏洞。我们强烈呼吁所有用户立即将其主题至少更新到 5.4.15 版本。

文章原文链接:https://www.anquanke.com/post/id/302733