Analityczne wykorzystywanie plików cookies
CVE-2023-0714: Luka w Metform Elementor Contact Form Builder umożliwiająca przesyłanie złośliwych plików
Wtyczka Metform Elementor Contact Form Builder do WordPressa ma lukę umożliwiającą przesyłanie złośliwych plików i potencjalne zdalne wykonanie kodu.
- CVSS
- 8.1 HIGH
- EPSS
- 57.82%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- metform elementor contact form builder
Co wiadomo
Wtyczka Metform Elementor Contact Form Builder dla WordPressa do wersji 3.2.4 ma lukę umożliwiającą nieautoryzowanym użytkownikom przesyłanie plików z podwójnym rozszerzeniem. Słaba walidacja typów plików może pozwolić na zdalne wykonanie kodu w niektórych konfiguracjach.
Wpływ biznesowy
Luka ta stanowi poważne zagrożenie dla bezpieczeństwa stron internetowych korzystających z tej wtyczki, umożliwiając potencjalnym atakującym wgranie i uruchomienie złośliwego kodu. Może to prowadzić do przejęcia kontroli nad serwerem, wycieku danych lub zakłócenia działania usług. Operatorzy powinni traktować tę lukę jako wysokiego ryzyka i priorytetowo ją adresować.
Rekomendowane działania administratora
Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki u dostawcy i ich wdrożenie. W przypadku braku łatki należy ograniczyć możliwość przesyłania plików przez formularze, monitorować logi pod kątem podejrzanej aktywności oraz stosować dodatkowe mechanizmy walidacji i filtrowania plików. Warto również przeprowadzić audyt bezpieczeństwa i ocenić ekspozycję serwisu.