CVE-2024-12331: luka w wtyczce Filester dla WordPress

Co wiadomo

Wtyczka File Manager Pro – Filester dla WordPress do wersji 1.8.6 ma lukę umożliwiającą nieautoryzowaną modyfikację danych poprzez brak odpowiedniej kontroli uprawnień w funkcji 'ajax_install_plugin'. Atakujący z poziomem dostępu Subskrybenta lub wyższym mogą zainstalować wtyczkę Filebird.

Wpływ biznesowy

Luka pozwala na nieautoryzowaną instalację wtyczek przez użytkowników z ograniczonymi uprawnieniami, co może prowadzić do eskalacji uprawnień i potencjalnych naruszeń bezpieczeństwa witryny WordPress. Operatorzy powinni ocenić ryzyko związane z tą podatnością, zwłaszcza w środowiskach z wieloma użytkownikami o różnym poziomie dostępu.

Rekomendowane działania administratora

Zaleca się jak najszybsze zaktualizowanie wtyczki Filester do wersji nowszej niż 1.8.6, jeśli jest dostępna. W przypadku braku aktualizacji należy ograniczyć dostęp użytkowników do poziomu Subskrybenta i wyższego oraz monitorować logi pod kątem podejrzanych działań związanych z instalacją wtyczek. Przegląd i weryfikacja uprawnień użytkowników jest również wskazana.

Źródła

• NVD
• Reference
• Reference