CVE-2024-3061: podatność Local File Inclusion w wtyczce Husky - Products Filter Professional dla WooCommerce

Co wiadomo

Wtyczka Husky - Products Filter Professional dla WooCommerce w wersjach do 1.3.5.2 włącznie jest podatna na Local File Inclusion poprzez parametr 'type'. Atakujący z uprawnieniami administratora mogą włączyć i wykonać dowolne pliki na serwerze, co umożliwia wykonanie kodu PHP.

Wpływ biznesowy

Podatność ta pozwala na obejście mechanizmów kontroli dostępu i wykonanie nieautoryzowanego kodu PHP na serwerze, co może prowadzić do wycieku danych lub przejęcia kontroli nad infrastrukturą. Zagrożenie jest szczególnie istotne dla właścicieli sklepów internetowych korzystających z WooCommerce i tej wtyczki, gdyż może wpłynąć na integralność i dostępność usług.

Rekomendowane działania administratora

Administratorzy powinni niezwłocznie zweryfikować wersję wtyczki Husky - Products Filter Professional i zaktualizować ją do najnowszej dostępnej wersji. W przypadku braku dostępnej poprawki zaleca się ograniczenie dostępu do panelu administratora, przegląd logów pod kątem podejrzanej aktywności oraz monitorowanie serwera. Warto także rozważyć ograniczenie możliwości przesyłania i wykonywania plików na serwerze.

Źródła

• NVD
• Reference
• Reference