Luka wtyczki WPFunnels dla WordPress umożliwia usuwanie dowolnych plików

Co wiadomo

Wtyczka WPFunnels dla WordPress do wersji 3.6.2 ma lukę pozwalającą administratorom na usuwanie dowolnych plików na serwerze poprzez niewystarczającą walidację ścieżek plików. Może to prowadzić do zdalnego wykonania kodu, jeśli usunięty zostanie kluczowy plik, np. wp-config.php.

Wpływ biznesowy

Atakujący z uprawnieniami administratora mogą usunąć krytyczne pliki serwera, co może skutkować poważnymi zakłóceniami działania witryny oraz umożliwić zdalne wykonanie kodu. Skutki obejmują utratę danych, przerwę w działaniu usług oraz potencjalne naruszenie bezpieczeństwa całej infrastruktury webowej.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki WPFunnels i ich wdrożenie. W przypadku braku łatki należy ograniczyć dostęp administratorów do zaufanych osób, monitorować logi pod kątem podejrzanych działań oraz rozważyć tymczasowe wyłączenie wtyczki. Regularne kopie zapasowe i audyt uprawnień zwiększą bezpieczeństwo.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference