Krytyczna luka wtyczki SEO LAT Auto Post dla WordPress umożliwiająca zdalne wykonanie kodu

Co wiadomo

Wtyczka SEO LAT Auto Post dla WordPress do wersji 2.2.1 zawiera krytyczną lukę pozwalającą na nadpisanie pliku seo-beginner-auto-post.php bez uwierzytelnienia. Atakujący mogą wykorzystać tę podatność do zdalnego wykonania kodu na serwerze.

Wpływ biznesowy

Luka o wysokim poziomie ryzyka (CVSS 9.8) umożliwia nieautoryzowanym osobom nadpisanie pliku wtyczki i potencjalne przejęcie kontroli nad serwerem WordPress. Może to prowadzić do poważnych naruszeń bezpieczeństwa, utraty danych oraz przerw w działaniu usług internetowych.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie wersji wtyczki SEO LAT Auto Post i aktualizację do najnowszej dostępnej wersji po wydaniu poprawki przez producenta. W międzyczasie warto ograniczyć dostęp do funkcji AJAX oraz monitorować logi serwera pod kątem podejrzanych działań. Priorytetowo należy ocenić ekspozycję serwisu i rozważyć tymczasowe wyłączenie wtyczki, jeśli aktualizacja nie jest możliwa.

Źródła

• NVD
• Reference
• Reference