CVE-2024-3242: Luka wtyczki Brizy – Page Builder dla WordPress

Co wiadomo

Wtyczka Brizy – Page Builder dla WordPress do wersji 2.4.43 ma lukę umożliwiającą uwierzytelnionym użytkownikom z uprawnieniami co najmniej współtwórcy przesyłanie dowolnych plików na serwer. Luka wynika z braku walidacji rozszerzeń plików w funkcji validateImageContent, co może prowadzić do zdalnego wykonania kodu.

Wpływ biznesowy

Atakujący z dostępem współtwórcy lub wyższym mogą przesłać złośliwe pliki na serwer, co stwarza ryzyko przejęcia kontroli nad stroną lub serwerem. Może to skutkować poważnymi konsekwencjami dla integralności i dostępności usług internetowych oraz bezpieczeństwa danych.

Rekomendowane działania administratora

Zaleca się niezwłoczne zaktualizowanie wtyczki Brizy do wersji 2.4.45 lub nowszej, która w pełni eliminuje lukę. W przypadku braku możliwości aktualizacji należy ograniczyć uprawnienia użytkowników, monitorować logi serwera pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie funkcji przesyłania plików przez użytkowników z niższymi uprawnieniami.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference