Analityczne wykorzystywanie plików cookies
Luka CSRF w wtyczce Zegen Core dla WordPress umożliwia przesyłanie dowolnych plików
Wtyczka Zegen Core WordPress do 2.0.1 umożliwia atak CSRF z przesłaniem dowolnych plików, co może prowadzić do zdalnego wykonania kodu.
- CVSS
- 8.8 HIGH
- EPSS
- 15.49%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- -
Co wiadomo
Wtyczka Zegen Core dla WordPress w wersjach do 2.0.1 włącznie jest podatna na atak Cross-Site Request Forgery (CSRF), który pozwala na przesłanie dowolnych plików na serwer. Luka wynika z braku walidacji nonce oraz typu pliku w pliku custom-font-code/custom-fonts-uploads.php, co może umożliwić zdalne wykonanie kodu, jeśli administrator zostanie nakłoniony do wykonania złośliwego żądania.
Wpływ biznesowy
Atakujący bez uwierzytelnienia mogą przesłać złośliwe pliki na serwer, co stwarza ryzyko zdalnego wykonania kodu i przejęcia kontroli nad serwisem. Może to prowadzić do poważnych naruszeń bezpieczeństwa, utraty danych oraz przerw w działaniu usług internetowych opartych na WordPress z tą wtyczką.
Rekomendowane działania administratora
Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Zegen Core i jej instalację. W przypadku braku łatki należy ograniczyć dostęp do funkcji przesyłania plików, monitorować logi serwera pod kątem podejrzanych aktywności oraz edukować administratorów, aby nie wykonywali podejrzanych działań na stronie. Priorytetowo traktuj przegląd i zabezpieczenie środowiska WordPress.