Podatności WordPressa

Ujawniono

Kiedy podatność została ujawniona publicznie (nie kiedy my ją zaciągnęliśmy).

Severity i CVSS

Ocena 0–10 w skali CVSS v3.1: krytyczna ≥ 9,0 · wysoka ≥ 7,0 · średnia ≥ 4,0 · niższa = niska. Bez oceny: „Nieoceniona” i myślnik w kolumnie CVSS — to brak oceny, nie brak ryzyka.

CVE

Publiczny numer podatności w światowym katalogu CVE. Ten sam numer identyfikuje ją w każdej bazie bezpieczeństwa.

Łata wersja i Z dnia

Wersja usuwająca lukę — gdy poprawkę dostało kilka gałęzi (rdzeń WordPressa), najnowsza, a rada w wierszu odsyła też do łatki we własnej gałęzi. Z dnia: data wydania łatki (tag w repozytorium wordpress.org); myślnik = produkt spoza tego repozytorium (premium) albo rdzeń.

Bez łatki

Producent nie wydał jeszcze poprawki — nie ma czym się zabezpieczyć poza wyłączeniem produktu. Samo advisory jest publiczne, ale my do czasu poprawki nie podajemy nazwy produktu, CVE ani klasy błędu: pokazujemy powagę, rodzaj oprogramowania, typ produktu i producenta. Nie chcemy być instrukcją, gdzie uderzyć.

KEV i EPSS

KEV przy CVSS = luka jest w katalogu CISA Known Exploited Vulnerabilities, czyli już wykorzystywana w atakach — aktualizuj najpierw ją. EPSS (w dymku nad CVSS, na telefonie po rozwinięciu) = szansa wykorzystania w ciągu 30 dni wg modelu FIRST. Oba liczone dla CVE luki, raz na dobę.

Źródło

Wordfence Intelligence; CISA KEV; EPSS — FIRST.org. Czas w strefie Europe/Warsaw.