Krytyczna luka wtyczki WP Membership dla WordPress umożliwiająca przesyłanie dowolnych plików

Co wiadomo

Wtyczka WP Membership dla WordPress do wersji 1.6.2 ma poważną lukę umożliwiającą nieautoryzowanym atakującym przesyłanie dowolnych plików na serwer poprzez brak walidacji typu pliku w funkcji user_profile_image_upload(). Może to prowadzić do zdalnego wykonania kodu.

Wpływ biznesowy

Luka ta stanowi poważne zagrożenie dla właścicieli stron opartych na WordPress z zainstalowaną wtyczką WP Membership, gdyż umożliwia atakującym przejęcie kontroli nad serwerem poprzez zdalne wykonanie kodu. Może to skutkować utratą danych, przerwami w działaniu serwisu oraz naruszeniem bezpieczeństwa infrastruktury IT.

Rekomendowane działania administratora

Administratorzy powinni niezwłocznie sprawdzić wersję wtyczki WP Membership i zaktualizować ją do najnowszej dostępnej wersji, jeśli została wydana poprawka. W przypadku braku aktualizacji zaleca się ograniczenie dostępu do funkcji przesyłania plików, monitorowanie logów serwera pod kątem podejrzanej aktywności oraz przegląd i wzmocnienie polityk bezpieczeństwa. Priorytetem jest szybka reakcja na potencjalne próby wykorzystania luki.

Źródła

• NVD
• Reference
• Reference