Luka Arbitrary File Read w wtyczce CS Framework dla WordPress (CVE-2024-12036)

Co wiadomo

Wtyczka CS Framework dla WordPress do wersji 6.9 włącznie zawiera lukę umożliwiającą uwierzytelnionym użytkownikom z uprawnieniami subskrybenta lub wyższymi odczyt dowolnych plików na serwerze poprzez funkcję get_widget_settings_json().

Wpływ biznesowy

Atakujący z dostępem subskrybenta mogą odczytać poufne pliki na serwerze, co może prowadzić do wycieku danych i naruszenia bezpieczeństwa aplikacji oraz infrastruktury. W przypadku stron opartych na WordPressie z zainstalowaną tą wtyczką istnieje ryzyko eksfiltracji wrażliwych informacji, co może skutkować stratami finansowymi i reputacyjnymi.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki CS Framework i jej instalację. W międzyczasie ogranicz dostęp do panelu WordPress tylko do zaufanych użytkowników oraz monitoruj logi serwera pod kątem podejrzanych działań. Przeanalizuj uprawnienia użytkowników i rozważ ich ograniczenie do niezbędnego minimum.

Źródła

• NVD
• Reference
• Reference