Analityczne wykorzystywanie plików cookies
Lokalna luka w Classic Addons – WPBakery Page Builder umożliwiająca wykonanie kodu PHP
Wtyczka WPBakery Page Builder do WordPress ma lukę umożliwiającą wykonanie kodu PHP przez użytkowników z uprawnieniami Contributor i wyższymi w środowisku Windows.
- CVSS
- 7.5 HIGH
- EPSS
- 55.18%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- -
Co wiadomo
Wtyczka Classic Addons – WPBakery Page Builder dla WordPress do wersji 3.0 włącznie posiada lukę umożliwiającą ograniczone lokalne dołączenie plików PHP przez parametr 'style'. Atakujący z uprawnieniami co najmniej na poziomie Współpracownika mogą wykonać dowolny kod PHP na serwerze w środowisku Windows.
Wpływ biznesowy
Luka pozwala na obejście kontroli dostępu i wykonanie złośliwego kodu PHP, co może prowadzić do wycieku danych lub przejęcia kontroli nad serwerem. Zagrożenie dotyczy środowisk Windows, gdzie możliwe jest dołączenie i wykonanie plików PHP. Organizacje korzystające z tej wtyczki powinny traktować tę lukę jako wysokiego ryzyka i podjąć działania minimalizujące ekspozycję.
Rekomendowane działania administratora
Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki u dostawcy oraz ich wdrożenie. W międzyczasie ogranicz uprawnienia użytkowników do niezbędnego minimum, monitoruj logi pod kątem podejrzanej aktywności oraz rozważ blokadę możliwości przesyłania i dołączania plików PHP. Priorytetyzuj działania w oparciu o poziom ryzyka i ekspozycję środowiska.