Luka wtyczki WP Hide & Security Enhancer umożliwia usuwanie zawartości plików

Co wiadomo

Wtyczka WP Hide & Security Enhancer dla WordPressa do wersji 2.5.1 ma poważną lukę pozwalającą nieautoryzowanym atakującym na usunięcie zawartości dowolnych plików na serwerze. Brak odpowiedniej autoryzacji i walidacji ścieżek plików w pliku file-process.php umożliwia takie działanie, co może prowadzić do awarii strony lub utraty danych.

Wpływ biznesowy

Atakujący bez uwierzytelnienia mogą usunąć zawartość plików na serwerze, co może spowodować przerwy w działaniu serwisu, utratę danych lub konieczność przywracania kopii zapasowych. Właściciele stron opartych na WordPress z tą wtyczką powinni traktować tę lukę jako wysokie ryzyko dla integralności i dostępności swoich usług.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie wersji wtyczki WP Hide & Security Enhancer i aktualizację do najnowszej dostępnej wersji po jej wydaniu. Do czasu aktualizacji warto ograniczyć dostęp do pliku file-process.php oraz monitorować logi serwera pod kątem podejrzanych działań. Warto również przeprowadzić audyt bezpieczeństwa i przygotować plan szybkiego reagowania na incydenty.

Źródła

• NVD
• Reference
• Reference