Luka wtyczki Archiver dla WordPress umożliwia usuwanie plików

Co wiadomo

Wtyczka Archiver The Hack Repair Guy dla WordPressa do wersji 2.0.4 ma lukę pozwalającą administratorom na usuwanie dowolnych plików na serwerze poprzez niewystarczającą walidację ścieżek plików. Może to prowadzić do zdalnego wykonania kodu, jeśli zostanie usunięty kluczowy plik, np. wp-config.php.

Wpływ biznesowy

Atakujący z uprawnieniami administratora mogą usunąć krytyczne pliki serwera, co może skutkować poważnymi zakłóceniami działania witryny, utratą danych lub eskalacją ataku do zdalnego wykonania kodu. Właściciele infrastruktury powinni traktować tę lukę jako wysokiego ryzyka, szczególnie w środowiskach produkcyjnych WordPressa.

Rekomendowane działania administratora

Zaleca się jak najszybszą aktualizację wtyczki Archiver do najnowszej wersji udostępnionej przez producenta. W przypadku braku dostępnej poprawki należy ograniczyć dostęp administratorów do wtyczki, monitorować logi pod kątem podejrzanej aktywności oraz przeprowadzić przegląd uprawnień użytkowników. Warto również rozważyć tymczasowe wyłączenie wtyczki, aby zminimalizować ryzyko.

Źródła

• NVD
• Reference
• Reference