Analityczne wykorzystywanie plików cookies
Krytyczna luka RCE w WooCommerce 7.1.0 przez niebezpieczny parametr product-type
Krytyczna luka RCE w WooCommerce 7.1.0 pozwala na zdalne wykonanie kodu przez parametr product-type. Zalecane szybkie aktualizacje i monitorowanie.
- CVSS
- 9.3 CRITICAL
- EPSS
- 65.23%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- -
Co wiadomo
WooCommerce 7.1.0 zawiera krytyczną lukę umożliwiającą zdalne wykonanie kodu (RCE). Atakujący mogą wstrzykiwać polecenia powłoki przez parametr product-type, co pozwala na zapis złośliwych plików PHP w katalogu web root.
Wpływ biznesowy
Luka ta stanowi poważne zagrożenie dla sklepów internetowych korzystających z WooCommerce 7.1.0, umożliwiając atakującym przejęcie kontroli nad serwerem poprzez wykonanie dowolnego kodu PHP. Może to prowadzić do wycieku danych, defacementu strony lub dalszej eskalacji ataku, co negatywnie wpływa na dostępność i reputację usług e-commerce.
Rekomendowane działania administratora
Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji WooCommerce i ich wdrożenie. W przypadku braku łatki należy ograniczyć dostęp do endpointu class-wc-meta-box-product-images.php, monitorować logi serwera pod kątem podejrzanych żądań oraz przeprowadzić audyt bezpieczeństwa. Priorytetowo traktuj działania minimalizujące ekspozycję i przygotuj plan szybkiego reagowania na incydenty.