CVE-2023-5822: podatność na przesyłanie dowolnych plików w wtyczce Drag and Drop Multiple File Upload - Contact Form 7

Co wiadomo

Wtyczka Drag and Drop Multiple File Upload - Contact Form 7 dla WordPressa do wersji 1.3.7.3 ma lukę umożliwiającą nieautoryzowanym atakującym przesyłanie dowolnych plików na serwer przez niewystarczającą walidację typów plików. Luka ta może prowadzić do zdalnego wykonania kodu, jeśli użytkownik z uprawnieniami edytora lub wyższymi dodał pole formularza do przesyłania wielu plików z akceptacją wszystkich typów plików.

Wpływ biznesowy

Podatność może pozwolić atakującym na przesłanie i potencjalne wykonanie złośliwego kodu na serwerze, co stanowi poważne zagrożenie dla integralności i bezpieczeństwa infrastruktury IT. Organizacje korzystające z tej wtyczki powinny traktować tę lukę jako wysokiego ryzyka, szczególnie jeśli mają użytkowników z uprawnieniami edytora lub wyższymi, którzy mogą konfigurować formularze z wieloma plikami.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki u dostawcy oraz ich wdrożenie. W międzyczasie ogranicz uprawnienia użytkowników do edycji formularzy i zweryfikuj konfigurację pól przesyłania plików, unikając akceptacji wszystkich typów plików ('*'). Monitoruj logi serwera pod kątem podejrzanej aktywności i rozważ ograniczenie dostępu do formularzy przesyłania plików.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference