Analityczne wykorzystywanie plików cookies
CVE-2024-5441: luka wtyczki Modern Events Calendar umożliwiająca przesyłanie dowolnych plików
Wtyczka Modern Events Calendar do WordPressa ma poważną lukę pozwalającą na przesyłanie dowolnych plików i potencjalne zdalne wykonanie kodu. Sprawdź zalecenia bezpieczeństwa.
- CVSS
- 8.8 HIGH
- EPSS
- 62.71%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- modern events calendar
Co wiadomo
Wtyczka Modern Events Calendar dla WordPressa do wersji 7.11.0 włącznie posiada lukę umożliwiającą uwierzytelnionym użytkownikom (od poziomu subskrybenta) przesyłanie dowolnych plików na serwer przez brak walidacji typów plików w funkcji set_featured_image. Administratorzy mogą dodatkowo rozszerzyć możliwość dodawania wydarzeń na niezalogowanych użytkowników, co pozwala na potencjalne wykorzystanie luki przez osoby nieautoryzowane.
Wpływ biznesowy
Luka ta stwarza ryzyko zdalnego wykonania kodu na serwerze, co może prowadzić do przejęcia kontroli nad infrastrukturą WordPressa. Atakujący mogą przesłać złośliwe pliki, co zagraża integralności i dostępności serwisu oraz danych. Organizacje korzystające z tej wtyczki powinny traktować tę lukę jako wysokiego ryzyka i podjąć działania minimalizujące potencjalne szkody.
Rekomendowane działania administratora
Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Modern Events Calendar i ich instalację. W przypadku braku natychmiastowej łatki, ograniczenie uprawnień użytkowników do minimum oraz wyłączenie możliwości dodawania wydarzeń przez niezalogowanych użytkowników. Dodatkowo warto przejrzeć logi serwera pod kątem podejrzanych przesyłanych plików i monitorować system pod kątem nietypowej aktywności.