CVE-2023-6979: luka wtyczki Customer Reviews for WooCommerce umożliwiająca przesyłanie dowolnych plików

Co wiadomo

Wtyczka Customer Reviews for WooCommerce dla WordPressa posiada lukę umożliwiającą uwierzytelnionym użytkownikom z uprawnieniami autora lub wyższymi przesyłanie dowolnych plików na serwer poprzez brak walidacji typów plików w akcji AJAX ivole_import_upload_csv. Luka ta może prowadzić do zdalnego wykonania kodu.

Wpływ biznesowy

Atakujący z dostępem na poziomie autora mogą wykorzystać tę lukę do przesłania złośliwych plików na serwer, co stwarza ryzyko przejęcia kontroli nad stroną i infrastrukturą. Może to skutkować poważnymi konsekwencjami dla bezpieczeństwa danych i ciągłości działania serwisu e-commerce opartego na WooCommerce.

Rekomendowane działania administratora

Administratorzy powinni niezwłocznie zweryfikować dostępność aktualizacji wtyczki Customer Reviews for WooCommerce i zastosować je, jeśli są dostępne. W przypadku braku łatki zaleca się ograniczenie uprawnień użytkowników, monitorowanie logów serwera pod kątem podejrzanej aktywności oraz ograniczenie możliwości przesyłania plików. Priorytetem jest szybka reakcja i minimalizacja ekspozycji na atak.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference