Luka RCE w wtyczce WP Import – Ultimate CSV XML Importer dla WordPress

Co wiadomo

Wtyczka WP Import – Ultimate CSV XML Importer dla WordPress w wersjach do 7.28 włącznie zawiera lukę umożliwiającą zdalne wykonanie kodu. Luka wynika z funkcji write_to_customfile(), która zapisuje nieprzefiltrowany kod PHP do pliku, co pozwala uwierzytelnionym użytkownikom z poziomem Subskrybenta lub wyższym na wstrzyknięcie złośliwego kodu.

Wpływ biznesowy

Atakujący z dostępem na poziomie Subskrybenta mogą wykorzystać tę lukę do wykonania dowolnego kodu PHP na serwerze, co może prowadzić do przejęcia kontroli nad stroną WordPress i potencjalnie całym serwerem. Może to skutkować utratą danych, defacementem strony lub dalszymi atakami na infrastrukturę IT.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki u dostawcy i jej wdrożenie. W międzyczasie warto ograniczyć dostęp użytkowników do poziomu Subskrybenta oraz monitorować logi serwera pod kątem podejrzanych działań. W przypadku braku łatki należy rozważyć tymczasowe wyłączenie wtyczki lub ograniczenie jej funkcjonalności.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference