Krytyczna luka wtyczki Smart Product Review dla WordPress umożliwiająca zdalne wykonanie kodu

Co wiadomo

Wtyczka Smart Product Review dla WordPress w wersjach do 1.0.4 włącznie posiada lukę umożliwiającą nieautoryzowanym atakującym przesyłanie dowolnych plików na serwer. Brak walidacji typu pliku może prowadzić do zdalnego wykonania kodu na zaatakowanym serwerze.

Wpływ biznesowy

Luka ta stanowi poważne zagrożenie dla właścicieli stron opartych na WordPress, ponieważ umożliwia atakującym przejęcie kontroli nad serwerem poprzez przesłanie i wykonanie złośliwego kodu. Może to skutkować utratą danych, przerwami w działaniu serwisu oraz naruszeniem bezpieczeństwa infrastruktury IT.

Rekomendowane działania administratora

Administratorzy powinni niezwłocznie zweryfikować używaną wersję wtyczki Smart Product Review i zaktualizować ją do najnowszej dostępnej wersji, jeśli taka istnieje. W przypadku braku aktualizacji zaleca się ograniczenie dostępu do funkcji przesyłania plików, przegląd logów serwera pod kątem podejrzanej aktywności oraz monitorowanie systemu pod kątem nieautoryzowanych zmian. Priorytetem jest szybkie wdrożenie poprawek i minimalizacja ekspozycji na atak.

Źródła

• NVD
• Reference
• Reference