Lokalne Dołączenie Plików w wtyczce Elegance Menu dla WordPress (CVE-2025-11704)

Co wiadomo

Wtyczka Elegance Menu dla WordPress do wersji 1.9 włącznie jest podatna na lokalne dołączenie plików (LFI) poprzez atrybut 'elegance-menu' shortcode'u. Atakujący z uprawnieniami co najmniej na poziomie Współpracownika mogą dołączać i wykonywać dowolne pliki PHP na serwerze.

Wpływ biznesowy

Podatność umożliwia atakującym obejście mechanizmów kontroli dostępu oraz wykonanie złośliwego kodu PHP, co może prowadzić do wycieku danych lub przejęcia kontroli nad serwerem. Organizacje korzystające z tej wtyczki narażone są na poważne zagrożenia bezpieczeństwa, zwłaszcza jeśli dopuszczają upload plików PHP.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Elegance Menu i ich wdrożenie. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników oraz monitorować logi pod kątem podejrzanej aktywności. Dodatkowo warto rozważyć ograniczenie możliwości uploadu plików PHP i przeprowadzić audyt bezpieczeństwa środowiska WordPress.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference