Krytyczna luka wtyczki Frontend File Manager umożliwiająca przesyłanie dowolnych plików

Co wiadomo

Wtyczki Frontend File Manager (wersje poniżej 4.0) oraz N-Media Post Front-end Form (wersje poniżej 1.1) dla WordPress mają lukę umożliwiającą nieautoryzowanym atakującym przesyłanie dowolnych plików na serwer poprzez brak walidacji typów plików w akcjach AJAX. Może to prowadzić do zdalnego wykonania kodu.

Wpływ biznesowy

Luka o krytycznym poziomie zagrożenia (CVSS 9.8) pozwala atakującym na przesłanie i potencjalne uruchomienie złośliwego kodu na serwerze, co może skutkować przejęciem kontroli nad infrastrukturą. Operatorzy stron opartych na WordPress z tymi wtyczkami powinni traktować tę podatność jako priorytetową do zaadresowania, aby zapobiec poważnym incydentom bezpieczeństwa.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczek Frontend File Manager i N-Media Post Front-end Form u dostawcy oraz ich instalację. W przypadku braku łatki należy ograniczyć dostęp do funkcji przesyłania plików, monitorować logi serwera pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie wtyczek. Priorytetowo należy przeprowadzić audyt bezpieczeństwa i weryfikację integralności serwera.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference