Luka wtyczki g-FFL Cockpit dla WordPress umożliwia ujawnienie wrażliwych informacji

Co wiadomo

Wtyczka g-FFL Cockpit dla WordPress w wersjach do 1.7.1 włącznie posiada lukę umożliwiającą nieautoryzowany dostęp do informacji o serwerze poprzez punkt końcowy /server_status REST API. Brak odpowiednich kontroli uprawnień pozwala atakującym na wyciągnięcie danych serwera.

Wpływ biznesowy

Ta luka może prowadzić do ujawnienia informacji o konfiguracji i stanie serwera, co może ułatwić dalsze ataki na infrastrukturę IT. Administratorzy powinni traktować to zagrożenie jako średnie, jednak w środowiskach o wysokim poziomie bezpieczeństwa wyciek takich danych może mieć poważniejsze konsekwencje.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki g-FFL Cockpit i ich wdrożenie. W przypadku braku łatki należy ograniczyć dostęp do punktu końcowego /server_status oraz monitorować logi pod kątem nieautoryzowanych żądań. Warto również przeprowadzić przegląd uprawnień i rozważyć dodatkowe zabezpieczenia API.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference