CVE-2024-5348: Lokalna inkluzja plików w wtyczce Elements For Elementor dla WordPress

Co wiadomo

Wtyczka Elements For Elementor dla WordPress do wersji 2.1 włącznie jest podatna na lokalną inkluzję plików (LFI) poprzez atrybuty różnych widgetów. Atakujący z uprawnieniami co najmniej na poziomie Współpracownika mogą włączyć i wykonać dowolne pliki PHP na serwerze, co umożliwia obejście kontroli dostępu i wykonanie złośliwego kodu.

Wpływ biznesowy

Podatność ta stanowi poważne zagrożenie dla bezpieczeństwa serwerów hostingujących WordPress, ponieważ umożliwia atakującym eskalację uprawnień i wykonanie dowolnego kodu PHP. Może to prowadzić do wycieku danych, przejęcia kontroli nad serwerem oraz zakłócenia działania usług. Operatorzy infrastruktury powinni traktować tę lukę jako wysokiego ryzyka i podjąć odpowiednie działania zabezpieczające.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Elements For Elementor i ich wdrożenie. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do minimum, monitorować logi pod kątem podejrzanej aktywności oraz ograniczyć możliwość przesyłania i włączania plików na serwerze. Priorytetowo należy ocenić ekspozycję serwisu i wdrożyć dodatkowe mechanizmy kontroli dostępu.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference