Krytyczna luka Directory Traversal w wtyczce WP Compress dla WordPress

Co wiadomo

Wtyczka WP Compress – Image Optimizer [All-In-One] dla WordPress do wersji 6.10.33 włącznie zawiera lukę Directory Traversal poprzez parametr css. Pozwala to nieautoryzowanym atakującym na odczytanie dowolnych plików na serwerze, w tym potencjalnie zawierających wrażliwe dane.

Wpływ biznesowy

Luka o wysokim poziomie krytyczności (CVSS 9.1) umożliwia atakującym bez uwierzytelnienia dostęp do plików serwera, co może prowadzić do wycieku poufnych informacji i dalszych ataków na infrastrukturę IT. Operatorzy systemów wykorzystujących tę wtyczkę powinni traktować tę podatność jako priorytetową do zaadresowania, aby zapobiec naruszeniom bezpieczeństwa i utracie danych.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki WP Compress u dostawcy i jej wdrożenie. W przypadku braku łatki należy ograniczyć ekspozycję serwera, monitorować logi pod kątem podejrzanej aktywności oraz przeprowadzić ocenę ryzyka i priorytetyzację działań zabezpieczających.

Źródła

• NVD
• Reference
• Reference