CVE-2024-1169: luka wtyczki Post Form umożliwiająca nieautoryzowany upload mediów

Co wiadomo

Wtyczka Post Form dla WordPressa (do wersji 2.8.7 włącznie) posiada lukę umożliwiającą nieautoryzowany upload plików multimedialnych przez brak odpowiedniej weryfikacji uprawnień w funkcji buddyforms_upload_handle_dropped_media. Atakujący bez uwierzytelnienia mogą przesyłać pliki, co stwarza ryzyko dla bezpieczeństwa witryny.

Wpływ biznesowy

Luka ta może prowadzić do wgrania złośliwych plików na serwer, co zagraża integralności i dostępności infrastruktury IT oraz może skutkować eskalacją ataków na stronę. Operatorzy powinni traktować tę podatność jako wysokiego ryzyka, szczególnie w środowiskach z aktywnym użytkowaniem formularzy i przesyłaniem treści przez użytkowników.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Post Form u dostawcy themekraft i ich wdrożenie. W międzyczasie warto ograniczyć możliwość przesyłania plików tylko do zaufanych użytkowników, monitorować logi serwera pod kątem podejrzanych uploadów oraz przeprowadzić przegląd uprawnień i konfiguracji formularzy użytkowników.

Źródła

• NVD
• Reference
• Reference
• Reference