CVE-2024-6566: Ujawnienie pełnej ścieżki w wtyczce Aramex Shipping WooCommerce

Co wiadomo

Wtyczka Aramex Shipping WooCommerce dla WordPress do wersji 1.1.21 włącznie umożliwia nieautoryzowanym atakującym ujawnienie pełnej ścieżki aplikacji webowej przez bezpośredni dostęp do pliku composer-setup.php z włączonym wyświetlaniem błędów. Sama informacja nie jest szkodliwa, ale może wspomagać inne ataki, jeśli istnieją dodatkowe luki.

Wpływ biznesowy

Dla operatorów IT i właścicieli infrastruktury oznacza to ryzyko ujawnienia wewnętrznej struktury serwera, co może ułatwić przeprowadzenie bardziej zaawansowanych ataków. Chociaż luka nie pozwala na bezpośrednie przejęcie kontroli, jej obecność wymaga uwagi i odpowiednich działań zabezpieczających, aby ograniczyć potencjalne zagrożenia.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Aramex Shipping WooCommerce i ich wdrożenie. W międzyczasie warto ograniczyć dostęp do pliku composer-setup.php oraz wyłączyć wyświetlanie błędów w środowisku produkcyjnym. Dodatkowo należy monitorować logi serwera pod kątem podejrzanych żądań i priorytetyzować dalsze działania zabezpieczające.

Źródła

• NVD
• Reference
• Reference