Analityczne wykorzystywanie plików cookies
Krytyczna luka wtyczki WordPress ad manager wd 1.0.11 umożliwia pobieranie dowolnych plików
Krytyczna luka w WordPress ad manager wd 1.0.11 pozwala na pobieranie dowolnych plików przez nieautoryzowanych atakujących. Zalecane szybkie aktualizacje i monitorowanie.
- CVSS
- 9.3 CRITICAL
- EPSS
- 36.72%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- -
Co wiadomo
Wtyczka WordPress ad manager wd w wersji 1.0.11 zawiera krytyczną lukę pozwalającą nieautoryzowanym atakującym na pobieranie wrażliwych plików poprzez manipulację parametrem ścieżki. Atakujący mogą wysyłać żądania GET do endpointu edit.php z parametrem export=export_csv i złośliwą ścieżką, aby odczytać pliki takie jak wp-config.php dostępne dla serwera WWW.
Wpływ biznesowy
Luka ta może prowadzić do wycieku poufnych danych konfiguracyjnych WordPressa, co zagraża bezpieczeństwu całej witryny i jej użytkowników. Atakujący mogą uzyskać dostęp do danych uwierzytelniających bazy danych i innych wrażliwych informacji, co może skutkować dalszymi atakami lub przejęciem kontroli nad serwerem. Operatorzy powinni traktować tę lukę jako krytyczną i podjąć szybkie działania w celu zabezpieczenia infrastruktury.
Rekomendowane działania administratora
Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki ad manager wd u jej dostawcy oraz ich wdrożenie. W przypadku braku łatki należy ograniczyć dostęp do endpointu edit.php oraz monitorować logi serwera pod kątem podejrzanych żądań z parametrem export=export_csv. Warto również przeprowadzić przegląd uprawnień plików i zabezpieczyć dostęp do kluczowych plików konfiguracyjnych WordPressa.