Analityczne wykorzystywanie plików cookies
Luka wtyczki WooCommerce OrderConvo umożliwiająca ograniczone przesyłanie plików
Wtyczka WooCommerce OrderConvo ma lukę umożliwiającą przesyłanie złośliwych plików przez użytkowników z uprawnieniami subskrybenta i wyższymi. Sprawdź zalecenia bezpieczeństwa.
- CVSS
- 5.4 MEDIUM
- EPSS
- 28.89%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- -
Co wiadomo
Wtyczka Admin and Customer Messages After Order for WooCommerce: OrderConvo do WordPressa jest podatna na ograniczone przesyłanie plików z powodu niewystarczającej walidacji typów plików w funkcji upload_file() we wszystkich wersjach do 13.2 włącznie. Uwierzytelnieni użytkownicy z poziomem Subskrybenta i wyższym mogą przesłać pliki na serwer, co może prowadzić do zdalnego wykonania kodu oraz potwierdzonych ataków Cross-Site Scripting.
Wpływ biznesowy
Ta luka pozwala atakującym z uprawnieniami subskrybenta lub wyższymi na przesyłanie potencjalnie złośliwych plików na serwer, co może skutkować przejęciem kontroli nad serwisem lub kradzieżą danych. Właściciele stron opartych na WordPress z tą wtyczką powinni traktować tę podatność jako poważne zagrożenie dla integralności i bezpieczeństwa swoich systemów.
Rekomendowane działania administratora
Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki u dostawcy i jej wdrożenie. W międzyczasie ogranicz dostęp użytkowników do poziomu subskrybenta lub wyższego oraz monitoruj logi serwera pod kątem podejrzanej aktywności. Rozważ wdrożenie dodatkowych mechanizmów filtrowania i kontroli przesyłanych plików oraz ograniczenie możliwości przesyłania plików do niezbędnego minimum.