Analityczne wykorzystywanie plików cookies
CVE-2024-13882: Luka w wtyczce Aiomatic dla WordPress umożliwiająca przesyłanie dowolnych plików
Wtyczka Aiomatic dla WordPress umożliwia przesyłanie dowolnych plików przez użytkowników Contributor. Zalecane szybkie aktualizacje i monitorowanie bezpieczeństwa.
- CVSS
- 8.8 HIGH
- EPSS
- 49.19%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- aiomatic
Co wiadomo
Wtyczka Aiomatic dla WordPress, służąca do automatycznego generowania treści AI, posiada lukę umożliwiającą uwierzytelnionym użytkownikom z uprawnieniami co najmniej Contributor przesyłanie dowolnych plików na serwer. Problem wynika z braku walidacji typu pliku w funkcji aiomatic_generate_featured_image we wszystkich wersjach do 2.3.8 włącznie.
Wpływ biznesowy
Atakujący z dostępem na poziomie Contributor mogą przesłać złośliwe pliki na serwer, co potencjalnie umożliwia zdalne wykonanie kodu i przejęcie kontroli nad infrastrukturą. Organizacje korzystające z tej wtyczki powinny traktować tę lukę jako poważne zagrożenie dla bezpieczeństwa swoich stron WordPress, zwłaszcza jeśli wtyczka jest aktywna i dostępna dla użytkowników z uprawnieniami do tworzenia treści.
Rekomendowane działania administratora
Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Aiomatic u dostawcy oraz jej instalację, jeśli jest dostępna. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do minimum, monitorować logi serwera pod kątem podejrzanych aktywności oraz rozważyć tymczasowe wyłączenie wtyczki. Warto również przeprowadzić audyt bezpieczeństwa i weryfikację przesłanych plików na serwerze.