Analityczne wykorzystywanie plików cookies
CVE-2024-7384: Luka wtyczki AcyMailing umożliwiająca przesyłanie dowolnych plików
Wtyczka AcyMailing do WordPressa ma lukę umożliwiającą przesyłanie dowolnych plików i potencjalne zdalne wykonanie kodu. Sprawdź zalecenia bezpieczeństwa.
- CVSS
- 7.5 HIGH
- EPSS
- 57.82%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- acymailing
Co wiadomo
Wtyczka AcyMailing dla WordPressa do wersji 9.7.2 włącznie posiada lukę pozwalającą na przesyłanie dowolnych plików przez użytkowników z uprawnieniami subskrybenta i wyższymi. Brak odpowiedniej walidacji typów plików w funkcji acym_extractArchive może umożliwić zdalne wykonanie kodu na serwerze.
Wpływ biznesowy
Atakujący z dostępem subskrybenta mogą przesłać złośliwe pliki na serwer, co stwarza ryzyko przejęcia kontroli nad infrastrukturą WordPress. Może to prowadzić do poważnych naruszeń bezpieczeństwa, w tym utraty danych i przerw w działaniu usług. Operatorzy powinni traktować tę lukę jako wysokiego ryzyka i odpowiednio ją priorytetyzować.
Rekomendowane działania administratora
Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki AcyMailing i ich wdrożenie. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do niezbędnego minimum, monitorować logi pod kątem podejrzanych aktywności oraz ograniczyć możliwość przesyłania plików. Regularna weryfikacja i audyt bezpieczeństwa środowiska WordPress jest wskazana.