CVE-2024-5455: podatność Local File Inclusion w wtyczce The Plus Addons for Elementor

Co wiadomo

Wtyczka The Plus Addons for Elementor do WordPressa jest podatna na Local File Inclusion (LFI) w wersjach do 5.5.4 włącznie, poprzez parametr 'magazine_style' w widżecie Dynamic Smart Showcase. Umożliwia to atakującym z uprawnieniami co najmniej na poziomie Współpracownika wykonanie dowolnego kodu PHP na serwerze.

Wpływ biznesowy

Podatność pozwala na obejście mechanizmów kontroli dostępu i wykonanie złośliwego kodu PHP, co może prowadzić do wycieku danych, przejęcia kontroli nad serwerem lub innych poważnych incydentów bezpieczeństwa. Organizacje korzystające z tej wtyczki powinny traktować tę lukę jako krytyczną i priorytetowo podjąć działania naprawcze.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki The Plus Addons for Elementor i ich instalację. W przypadku braku łatki należy ograniczyć dostęp użytkownikom do poziomu niższego niż Współpracownik, monitorować logi serwera pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie podatnego widżetu. Warto również przeprowadzić audyt bezpieczeństwa i weryfikację integralności plików na serwerze.

Źródła

• NVD
• Reference
• Reference