Luka PHP Object Injection w wtyczce Backup Migration dla WordPress (CVE-2024-10932)

Co wiadomo

Wtyczka Backup Migration dla WordPress w wersjach do 1.4.6 jest podatna na PHP Object Injection poprzez niebezpieczną deserializację w funkcji 'recursive_unserialize_replace'. Atakujący bez uwierzytelnienia mogą wstrzyknąć obiekt PHP, co w połączeniu z łańcuchem POP umożliwia usuwanie plików, kradzież danych lub wykonanie złośliwego kodu. Wykorzystanie wymaga utworzenia przez administratora środowiska testowego.

Wpływ biznesowy

Ta luka stanowi poważne zagrożenie dla bezpieczeństwa serwisów WordPress korzystających z podatnej wersji wtyczki Backup Migration. Atakujący mogą uzyskać możliwość modyfikacji lub usunięcia plików, a także wykonania zdalnego kodu, co może prowadzić do utraty danych, przerw w działaniu serwisu oraz naruszenia poufności informacji. Operatorzy powinni traktować tę lukę jako wysokiego ryzyka i priorytetowo podejść do jej eliminacji.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Backup Migration i jej instalację, jeśli jest dostępna. W przypadku braku łatki, należy ograniczyć dostęp do funkcji tworzenia środowisk testowych oraz monitorować logi pod kątem podejrzanej aktywności. Warto również rozważyć tymczasowe wyłączenie wtyczki do czasu usunięcia podatności oraz przeprowadzić audyt bezpieczeństwa serwisu.

Źródła

• NVD
• Reference
• Reference
• Reference