CVE-2024-13536: Ujawnienie pełnej ścieżki w wtyczce 1003 Mortgage Application dla WordPress

Co wiadomo

Wtyczka 1003 Mortgage Application dla WordPress w wersjach do 1.87 włącznie umożliwia nieautoryzowanym użytkownikom ujawnienie pełnej ścieżki aplikacji webowej poprzez publiczny dostęp do pliku /inc/class/fnm/export.php z włączonym logowaniem błędów. Sama informacja o ścieżce nie jest bezpośrednio szkodliwa, ale może wspomagać inne ataki, jeśli istnieją dodatkowe luki.

Wpływ biznesowy

Dla operatorów IT i właścicieli infrastruktury ujawnienie pełnej ścieżki aplikacji może ułatwić atakującym planowanie i przeprowadzanie bardziej zaawansowanych ataków na serwis. Choć sama luka nie pozwala na bezpośrednie przejęcie kontroli, zwiększa ryzyko wykorzystania innych podatności, co może prowadzić do naruszenia bezpieczeństwa i utraty danych.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki u jej dostawcy oraz wdrożenie dostępnych poprawek. W międzyczasie warto ograniczyć dostęp do pliku /inc/class/fnm/export.php, wyłączyć logowanie błędów na produkcji oraz monitorować logi pod kątem podejrzanej aktywności. Priorytetowo należy ocenić ryzyko i zabezpieczyć inne potencjalne luki w systemie.

Źródła

• NVD
• Reference
• Reference