CVE-2023-6120: luka Directory Traversal w wtyczce Welcart e-Commerce

Co wiadomo

Wtyczka Welcart e-Commerce dla WordPressa do wersji 2.9.6 włącznie zawiera lukę Directory Traversal w funkcji upload_certificate_file, umożliwiającą administratorom przesyłanie plików .pem lub .crt do dowolnych lokalizacji na serwerze.

Wpływ biznesowy

Luka ta może prowadzić do nieautoryzowanego zapisu plików w krytycznych lokalizacjach serwera, co zwiększa ryzyko eskalacji uprawnień lub manipulacji certyfikatami. Operatorzy IT powinni zwrócić uwagę na potencjalne zagrożenia wynikające z niekontrolowanego zapisu plików i możliwe konsekwencje dla integralności systemu.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Welcart e-Commerce i ich wdrożenie. W przypadku braku łatki należy ograniczyć dostęp administratorów do funkcji upload_certificate_file, monitorować logi serwera pod kątem podejrzanych operacji zapisu oraz ograniczyć ekspozycję serwera. Priorytetowo należy ocenić ryzyko i wdrożyć odpowiednie środki zabezpieczające.

Źródła

• NVD
• Reference
• Reference
• Reference