CVE-2024-13342: luka w Booster for WooCommerce umożliwiająca przesyłanie dowolnych plików

Co wiadomo

Wtyczka Booster for WooCommerce dla WordPressa do wersji 7.2.4 włącznie posiada lukę pozwalającą na przesyłanie dowolnych plików przez brak walidacji typów plików w funkcji 'add_files_to_order'. Atakujący bez uwierzytelnienia mogą przesłać pliki z podwójnymi rozszerzeniami, co w niektórych konfiguracjach może prowadzić do zdalnego wykonania kodu.

Wpływ biznesowy

Luka ta stanowi poważne zagrożenie dla właścicieli sklepów internetowych korzystających z tej wtyczki, gdyż umożliwia atakującym potencjalne przejęcie kontroli nad serwerem. Może to skutkować utratą danych, przerwami w działaniu usług oraz naruszeniem bezpieczeństwa klientów. Właściciele infrastruktury powinni traktować tę lukę jako wysokiego ryzyka i odpowiednio ją adresować.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Booster for WooCommerce i ich wdrożenie. W przypadku braku łatki należy ograniczyć możliwość przesyłania plików, monitorować logi serwera pod kątem podejrzanych aktywności oraz przeprowadzić audyt konfiguracji serwera, aby zminimalizować ryzyko wykonania złośliwego kodu. Priorytetowo traktuj aktualizacje i zabezpieczenia środowiska WordPress.

Źródła

• NVD
• Reference
• Reference
• Reference