Analityczne wykorzystywanie plików cookies
CVE-2024-9939: podatność na Path Traversal w wtyczce WordPress File Upload
Wtyczka WordPress File Upload do wersji 4.24.13 ma lukę Path Traversal umożliwiającą nieautoryzowany odczyt plików. Zalecane szybkie aktualizacje i monitorowanie.
- CVSS
- 7.5 HIGH
- EPSS
- 60.28%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- wordpress file upload
Co wiadomo
Wtyczka WordPress File Upload do wersji 4.24.13 włącznie zawiera lukę Path Traversal w pliku wfu_file_downloader.php, umożliwiającą nieautoryzowanym atakującym odczyt plików poza zamierzonym katalogiem. Luka ta dotyczy wszystkich wersji do wskazanej włącznie.
Wpływ biznesowy
Ta podatność może prowadzić do wycieku poufnych danych z serwera, co stanowi poważne zagrożenie dla bezpieczeństwa witryn opartych na WordPress. Administratorzy powinni traktować tę lukę jako wysokiego ryzyka, zwłaszcza w środowiskach z publicznym dostępem do wtyczki. Niewłaściwe zarządzanie może skutkować naruszeniem integralności i poufności danych.
Rekomendowane działania administratora
Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki WordPress File Upload u dostawcy iptanus oraz ich wdrożenie. W międzyczasie warto ograniczyć dostęp do pliku wfu_file_downloader.php, monitorować logi serwera pod kątem podejrzanych żądań oraz ograniczyć ekspozycję wtyczki w środowisku produkcyjnym. Priorytetowo traktuj audyt i aktualizację komponentów WordPress.