Analityczne wykorzystywanie plików cookies
Lokalne Dołączenie Plików w wtyczce Panda Video dla WordPress (CVE-2024-5456)
Wtyczka Panda Video WordPress do 1.4.0 podatna na LFI, umożliwiająca wykonanie kodu PHP przez użytkowników z uprawnieniami Contributor i wyższymi.
- CVSS
- 8.8 HIGH
- EPSS
- 54.94%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- -
Co wiadomo
Wtyczka Panda Video dla WordPress do wersji 1.4.0 jest podatna na lokalne dołączenie plików poprzez parametr 'selected_button'. Atakujący z uprawnieniami co najmniej na poziomie Współpracownika mogą wykonywać dowolny kod PHP na serwerze.
Wpływ biznesowy
Podatność umożliwia obejście kontroli dostępu i wykonanie złośliwego kodu na serwerze, co może prowadzić do wycieku danych lub przejęcia kontroli nad infrastrukturą. Organizacje korzystające z tej wtyczki powinny traktować tę lukę jako wysokiego ryzyka, szczególnie w środowiskach z wieloma użytkownikami o różnym poziomie uprawnień.
Rekomendowane działania administratora
Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Panda Video i ich wdrożenie. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do minimum, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie wtyczki. Warto także przeprowadzić audyt bezpieczeństwa i weryfikację przesyłanych plików.