Luka wtyczki MaxGalleria dla WordPress umożliwia nieautoryzowany upload obrazów

Co wiadomo

Wtyczka MaxGalleria dla WordPressa do wersji 6.4.2 włącznie posiada lukę pozwalającą na nieautoryzowany upload obrazów przez funkcję add_media_library_images_to_gallery bez odpowiedniej weryfikacji uprawnień. Atakujący z dostępem subskrybenta lub wyższym mogą przesyłać dowolne obrazy do galerii.

Wpływ biznesowy

Luka ta może prowadzić do nieautoryzowanego umieszczania treści graficznych na stronie, co może skutkować naruszeniem polityk bezpieczeństwa, obniżeniem reputacji firmy oraz potencjalnym wykorzystaniem do dalszych ataków. Operatorzy stron korzystających z tej wtyczki powinni zweryfikować ryzyko i podjąć działania ograniczające ekspozycję.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki MaxGalleria i ich instalację. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników oraz monitorować logi pod kątem podejrzanych aktywności związanych z uploadem obrazów. Warto również rozważyć tymczasowe wyłączenie funkcji uploadu w wtyczce.

Źródła

• NVD
• Reference
• Reference
• Reference