CVE-2024-10960: krytyczna luka w wtyczce Brizy dla WordPress

Co wiadomo

Wtyczka Brizy – Page Builder dla WordPress do wersji 2.6.4 włącznie posiada krytyczną lukę umożliwiającą uwierzytelnionym użytkownikom z uprawnieniami Contributor i wyższymi przesyłanie dowolnych plików na serwer. Brak walidacji typu pliku w funkcji 'storeUploads' może prowadzić do zdalnego wykonania kodu.

Wpływ biznesowy

Atakujący z dostępem Contributor mogą przesłać złośliwe pliki na serwer, co stwarza ryzyko przejęcia kontroli nad stroną i infrastrukturą. Wykorzystanie tej luki może skutkować poważnymi naruszeniami bezpieczeństwa, utratą danych oraz przerwami w działaniu usług webowych. Operatorzy powinni traktować tę lukę jako krytyczną i priorytetowo podejść do jej załatania.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Brizy i ich wdrożenie. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do minimum, monitorować logi serwera pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie wtyczki. Regularna weryfikacja i audyt bezpieczeństwa środowiska WordPress jest wskazana.

Źródła

• NVD
• Reference
• Reference