Analityczne wykorzystywanie plików cookies
CVE-2024-11010: Lokalna luka wtyczki FileOrganizer dla WordPress umożliwiająca wykonanie złośliwego JavaScript
Wtyczka FileOrganizer WordPress do wersji 1.1.4 ma lukę umożliwiającą administratorom wykonanie złośliwego JavaScript. Zalecana szybka aktualizacja i monitoring.
- CVSS
- 7.2 HIGH
- EPSS
- 53.79%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- -
Co wiadomo
Wtyczka FileOrganizer dla WordPress do zarządzania plikami jest podatna na lokalne włączenie plików JavaScript poprzez parametr 'default_lang' we wszystkich wersjach do 1.1.4 włącznie. Atakujący z uprawnieniami administratora mogą wykonywać dowolny kod JavaScript na serwerze, co może prowadzić do obejścia kontroli dostępu i wycieku danych.
Wpływ biznesowy
Podatność pozwala administratorom na serwerze WordPress na uruchamianie nieautoryzowanego kodu JavaScript, co może skutkować naruszeniem integralności systemu, wyciekiem wrażliwych informacji lub eskalacją uprawnień. W środowiskach produkcyjnych może to prowadzić do poważnych zagrożeń bezpieczeństwa i utraty zaufania użytkowników.
Rekomendowane działania administratora
Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki FileOrganizer i ich wdrożenie. W przypadku braku łatki należy ograniczyć dostęp administratorów do niezbędnego minimum, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie wtyczki. Regularna weryfikacja uprawnień i audyt bezpieczeństwa są wskazane.