Lokalna luka wczytywania plików w wtyczce WordPress Photocart Link 1.6

Co wiadomo

Wtyczka WordPress Photocart Link 1.6 zawiera lukę lokalnego wczytywania plików (LFI), która umożliwia nieautoryzowanym atakującym odczyt dowolnych plików poprzez niewystarczającą walidację danych wejściowych w pliku decode.php. Atakujący mogą przesyłać zakodowane w base64 ścieżki plików w parametrze 'id', aby uzyskać dostęp do wrażliwych danych, takich jak plik wp-config.php z danymi konfiguracyjnymi i poświadczeniami bazy danych.

Wpływ biznesowy

Ta luka może prowadzić do wycieku poufnych informacji, co zagraża bezpieczeństwu całej witryny WordPress oraz danych przechowywanych w bazie. Nieautoryzowany dostęp do plików konfiguracyjnych może umożliwić dalsze ataki, w tym eskalację uprawnień i przejęcie kontroli nad serwerem. Operatorzy powinni traktować tę lukę jako poważne zagrożenie dla integralności i poufności systemu.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Photocart Link i ich zastosowanie. W przypadku braku łatki należy ograniczyć dostęp do pliku decode.php, monitorować logi serwera pod kątem podejrzanych żądań oraz rozważyć tymczasowe wyłączenie wtyczki. Warto również przeprowadzić audyt bezpieczeństwa i weryfikację konfiguracji serwera, aby zminimalizować ryzyko wykorzystania luki.

Źródła

• NVD
• Reference
• Reference
• Reference