CVE-2024-6552: Ujawnienie pełnej ścieżki w wtyczce Amelia dla WordPress

Co wiadomo

Wtyczka Booking for Appointments and Events Calendar – Amelia dla WordPress do wersji 1.2 włącznie posiada lukę umożliwiającą ujawnienie pełnej ścieżki aplikacji webowej. Problem wynika z pozostawienia włączonej opcji display_errors w plikach testowych Symfony, co pozwala nieautoryzowanym atakującym na pozyskanie informacji o strukturze serwera.

Wpływ biznesowy

Ujawnienie pełnej ścieżki aplikacji może ułatwić przeprowadzenie kolejnych ataków na serwis, choć samo w sobie nie stanowi bezpośredniego zagrożenia. Wymaga obecności dodatkowej luki, aby mogło dojść do poważniejszych naruszeń. Operatorzy powinni traktować tę podatność jako element ryzyka w kontekście bezpieczeństwa aplikacji webowych.

Rekomendowane działania administratora

Zaleca się sprawdzenie dostępności aktualizacji wtyczki Amelia i ich wdrożenie, jeśli są dostępne. W przypadku braku łatki warto ograniczyć dostęp do plików testowych oraz wyłączyć wyświetlanie błędów w środowisku produkcyjnym. Dodatkowo warto monitorować logi serwera pod kątem podejrzanych żądań i priorytetyzować dalsze działania zabezpieczające.

Źródła

• NVD
• Reference
• Reference
• Reference