Krytyczna luka wtyczki WP-Property dla WordPress umożliwiająca zdalne wykonanie kodu

Co wiadomo

Wtyczka WP-Property dla WordPress do wersji 1.35.0 zawiera lukę umożliwiającą nieautoryzowany upload plików PHP przez skrypt uploadify.php. Atakujący może przesłać złośliwe pliki do tymczasowego katalogu, co prowadzi do zdalnego wykonania kodu.

Wpływ biznesowy

Luka ta stanowi poważne zagrożenie dla właścicieli stron opartych na WordPress z zainstalowaną wtyczką WP-Property, ponieważ umożliwia atakującym przejęcie kontroli nad serwerem. Może to skutkować utratą danych, defacementem strony lub wykorzystaniem zasobów serwera do dalszych ataków.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki WP-Property i jej instalację. W przypadku braku łatki należy ograniczyć dostęp do skryptu uploadify.php, monitorować logi serwera pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie wtyczki. Priorytetowo traktuj zabezpieczenie środowiska i regularne audyty bezpieczeństwa.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference