Analityczne wykorzystywanie plików cookies
Luka wtyczki WP Editor umożliwiająca deserializację niezweryfikowanych danych
Wtyczka WP Editor do WordPressa ma lukę deserializacji danych (CVE-2022-2446). Sprawdź zalecenia bezpieczeństwa i aktualizacje.
- CVSS
- 7.2 HIGH
- EPSS
- 44.11%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- wp editor
Co wiadomo
Wtyczka WP Editor dla WordPressa do wersji 1.2.9 zawiera lukę umożliwiającą deserializację niezweryfikowanych danych przez parametr 'current_theme_root'. Atakujący z uprawnieniami administratora mogą wykorzystać tę lukę do wykonania złośliwego kodu PHP poprzez przesłanie odpowiednio spreparowanego pliku.
Wpływ biznesowy
Luka ta pozwala na wykonanie złośliwych działań na serwerze WordPress, co może prowadzić do przejęcia kontroli nad witryną, wycieku danych lub innych poważnych incydentów bezpieczeństwa. Organizacje korzystające z WP Editor powinny potraktować tę lukę jako wysokiego ryzyka i podjąć działania minimalizujące potencjalne szkody.
Rekomendowane działania administratora
Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki WP Editor i ich wdrożenie. W przypadku braku łatki należy ograniczyć dostęp administratorów, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie wtyczki. Dodatkowo warto przeprowadzić audyt bezpieczeństwa i weryfikację przesyłanych plików.