CVE-2024-8671: Krytyczna luka w wtyczce WooEvents dla WordPress

Co wiadomo

Wtyczka WooEvents - Calendar and Event Booking dla WordPress do wersji 4.1.2 posiada lukę umożliwiającą nieautoryzowane nadpisanie plików na serwerze poprzez niewystarczającą walidację ścieżek plików. Atakujący mogą wykorzystać tę podatność do zdalnego wykonania kodu, np. usuwając kluczowe pliki jak wp-config.php.

Wpływ biznesowy

Luka o wysokim poziomie ryzyka (CVSS 9.1) pozwala na przejęcie kontroli nad serwerem poprzez nadpisanie dowolnych plików. Może to skutkować poważnymi konsekwencjami dla integralności i dostępności usług internetowych opartych na WordPress, w tym wyciekiem danych i przerwami w działaniu witryny.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie wersji wtyczki WooEvents i aktualizację do najnowszej dostępnej wersji po wydaniu poprawki przez producenta. W międzyczasie warto ograniczyć dostęp do plików serwera, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie wtyczki, jeśli to możliwe.

Źródła

• NVD
• Reference
• Reference