Analityczne wykorzystywanie plików cookies
CVE-2023-6559: luka wtyczki MW WP Form umożliwiająca usunięcie dowolnych plików
Wtyczka MW WP Form do WordPressa ma krytyczną lukę pozwalającą na usunięcie dowolnych plików, w tym wp-config.php. Zalecane szybkie aktualizacje i monitorowanie.
- CVSS
- 7.5 HIGH
- EPSS
- 67.72%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- mw wp form
Co wiadomo
Wtyczka MW WP Form dla WordPressa w wersjach do 5.0.3 włącznie posiada lukę pozwalającą na usunięcie dowolnych plików przez nieautoryzowanych atakujących. Problem wynika z braku odpowiedniej walidacji ścieżki pliku przed jego usunięciem, co może prowadzić do usunięcia kluczowych plików, takich jak wp-config.php.
Wpływ biznesowy
Luka ta stwarza ryzyko przejęcia kontroli nad stroną internetową oraz wykonania zdalnego kodu, co może skutkować poważnymi konsekwencjami dla bezpieczeństwa i dostępności serwisu. Operatorzy IT i właściciele infrastruktury powinni traktować tę podatność jako wysokiego ryzyka, zwłaszcza w środowiskach produkcyjnych.
Rekomendowane działania administratora
Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki MW WP Form i ich wdrożenie. W przypadku braku natychmiastowej łatki, należy ograniczyć dostęp do funkcji przesyłania plików, monitorować logi serwera pod kątem podejrzanych działań oraz przeprowadzić audyt bezpieczeństwa. Priorytetem jest minimalizacja ekspozycji i szybka reakcja na potencjalne incydenty.