CVE-2024-5503: Luka LFI w wtyczce WP Blog Post Layouts dla WordPress

Co wiadomo

Wtyczka WP Blog Post Layouts do WordPressa w wersjach do 1.1.3 włącznie zawiera lukę Local File Inclusion (LFI). Umożliwia to atakującym z uprawnieniami co najmniej na poziomie Współautora wczytanie i wykonanie dowolnych plików PHP na serwerze.

Wpływ biznesowy

Luka pozwala na obejście mechanizmów kontroli dostępu i wykonanie złośliwego kodu PHP, co może prowadzić do wycieku danych lub przejęcia kontroli nad serwerem. Atakujący mogą wykorzystać możliwość przesyłania i wczytywania plików uznawanych za bezpieczne, takich jak obrazy, do eskalacji ataku. Organizacje korzystające z tej wtyczki powinny traktować tę lukę jako poważne zagrożenie dla integralności i poufności swoich systemów.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki WP Blog Post Layouts u dostawcy i jej wdrożenie. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do minimum oraz monitorować logi serwera pod kątem podejrzanej aktywności. Warto również rozważyć tymczasowe wyłączenie wtyczki, jeśli nie jest niezbędna, aby zmniejszyć ryzyko wykorzystania luki.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference