CVE-2024-10585: luka Path Traversal w wtyczce InfiniteWP Client dla WordPress

Co wiadomo

Wtyczka InfiniteWP Client dla WordPress w wersjach do 1.13.0 włącznie zawiera lukę Path Traversal w parametrze 'historyID' pliku ~/debug-chart/index.php. Pozwala to nieautoryzowanym atakującym na odczyt plików .txt poza zamierzonym katalogiem.

Wpływ biznesowy

Luka umożliwia nieautoryzowany dostęp do plików tekstowych na serwerze, co może prowadzić do wycieku poufnych informacji i naruszenia bezpieczeństwa danych. Operatorzy stron WordPress korzystających z tej wtyczki powinni potraktować tę podatność jako istotne ryzyko dla integralności i poufności danych.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki InfiniteWP Client u dostawcy oraz jej instalację. W międzyczasie warto ograniczyć dostęp do pliku ~/debug-chart/index.php, monitorować logi serwera pod kątem podejrzanych żądań oraz ograniczyć ekspozycję serwisu na zewnętrzne ataki.

Źródła

• NVD
• Reference
• Reference
• Reference