CVE-2023-6558: podatność na przesyłanie dowolnych plików w wtyczce Import Export WordPress Users

Co wiadomo

Wtyczka Export and Import Users and Customers dla WordPressa do wersji 2.4.8 posiada lukę umożliwiającą uwierzytelnionym użytkownikom z uprawnieniami menedżera sklepu lub wyższymi przesyłanie dowolnych plików na serwer. Luka wynika z niewystarczającej walidacji typów plików w funkcji upload_import_file, co może prowadzić do zdalnego wykonania kodu.

Wpływ biznesowy

Atakujący z odpowiednimi uprawnieniami mogą przesłać złośliwe pliki na serwer, co stwarza ryzyko przejęcia kontroli nad infrastrukturą WordPressa. Może to skutkować poważnymi konsekwencjami dla bezpieczeństwa danych i ciągłości działania serwisu. Organizacje korzystające z tej wtyczki powinny traktować tę lukę jako wysokiego ryzyka i podjąć działania minimalizujące ekspozycję.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki u dostawcy i ich wdrożenie. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do niezbędnego minimum, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie funkcji importu/eksportu użytkowników. Priorytetem jest szybka reakcja w celu ograniczenia ryzyka wykorzystania luki.

Źródła

• NVD
• Reference
• Reference
• Reference