Krytyczna luka LFI w motywie Porto dla WordPress (CVE-2024-3806)

Co wiadomo

Motyw Porto dla WordPress do wersji 7.1.0 zawiera lukę Local File Inclusion (LFI) w funkcji 'porto_ajax_posts', umożliwiającą nieautoryzowanym atakującym wykonanie dowolnych plików PHP na serwerze. Luka ta może prowadzić do obejścia kontroli dostępu, wycieku danych lub pełnego wykonania kodu.

Wpływ biznesowy

Dla operatorów IT i właścicieli infrastruktury wykorzystanie tej luki może skutkować poważnym naruszeniem bezpieczeństwa, w tym przejęciem kontroli nad serwerem, utratą poufnych informacji oraz zakłóceniem działania usług. Atakujący mogą wgrać i uruchomić złośliwy kod PHP, co stwarza ryzyko dalszych ataków i eskalacji uprawnień.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji motywu Porto u dostawcy oraz ich wdrożenie. W międzyczasie ogranicz dostęp do funkcji ajaxowych motywu, monitoruj logi serwera pod kątem podejrzanej aktywności oraz ogranicz możliwość przesyłania i wykonywania plików PHP. Priorytetyzuj działania zabezpieczające w środowiskach produkcyjnych.

Źródła

• NVD
• Reference
• Reference