CVE-2024-7514: Luka w wtyczce WordPress Comments Import & Export umożliwiająca odczyt plików

Co wiadomo

Wtyczka WordPress Comments Import & Export do wersji 2.3.7 zawierała lukę pozwalającą uwierzytelnionym użytkownikom z uprawnieniami autora i wyższymi na odczyt dowolnych plików na serwerze poprzez niewystarczającą walidację ścieżek podczas importu komentarzy. Problem został częściowo naprawiony w wersji 2.3.8 i całkowicie w 2.3.9.

Wpływ biznesowy

Luka umożliwia atakującym dostęp do poufnych danych przechowywanych na serwerze, co może prowadzić do wycieku informacji i dalszych ataków na infrastrukturę. Organizacje korzystające z podatnej wersji wtyczki powinny traktować tę lukę jako istotne zagrożenie dla bezpieczeństwa aplikacji webowych i danych.

Rekomendowane działania administratora

Zaleca się niezwłoczne zaktualizowanie wtyczki WordPress Comments Import & Export do wersji 2.3.9 lub nowszej. W przypadku braku możliwości aktualizacji, ograniczyć dostęp do funkcji importu komentarzy tylko do zaufanych użytkowników oraz monitorować logi serwera pod kątem podejrzanej aktywności. Przegląd konfiguracji uprawnień i audyt bezpieczeństwa aplikacji są wskazane.

Źródła

• NVD
• Reference
• Reference