CVE-2024-5481: luka wtyczki Photo Gallery umożliwiająca dostęp do plików

Co wiadomo

Wtyczka Photo Gallery by 10Web dla WordPress do wersji 1.8.23 zawiera lukę Path Traversal przez funkcję esc_dir, pozwalającą uwierzytelnionym użytkownikom na kopiowanie i usuwanie plików oraz katalogów na serwerze. Domyślnie luka jest dostępna dla administratorów, ale w wersji premium uprawnienia mogą zostać rozszerzone na niższe role użytkowników.

Wpływ biznesowy

Luka umożliwia atakującym z uprawnieniami administratora lub, w wersji premium, niższym poziomem dostępu, manipulację plikami i katalogami WordPressa, co może prowadzić do wycieku poufnych danych lub uszkodzenia instalacji. Operatorzy powinni traktować tę podatność jako istotne zagrożenie dla integralności i poufności danych na serwerze.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Photo Gallery i ich instalację. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do minimum, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie wtyczki. Priorytetem jest minimalizacja ekspozycji i szybka reakcja na potencjalne incydenty.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference