Luka wtyczki ProjectList dla WordPress umożliwiająca przesyłanie dowolnych plików

Co wiadomo

Wtyczka ProjectList dla WordPress do wersji 0.3.0 włącznie posiada lukę umożliwiającą uwierzytelnionym użytkownikom z uprawnieniami redaktora i wyższymi przesyłanie dowolnych plików na serwer. Brak walidacji typu pliku może prowadzić do zdalnego wykonania kodu.

Wpływ biznesowy

Atakujący z dostępem na poziomie redaktora mogą wykorzystać tę lukę do przesłania złośliwych plików na serwer, co stwarza ryzyko przejęcia kontroli nad witryną lub serwerem. Może to skutkować poważnymi konsekwencjami dla integralności i dostępności usług internetowych oraz bezpieczeństwa danych.

Rekomendowane działania administratora

Zaleca się natychmiastową aktualizację wtyczki ProjectList do najnowszej wersji udostępnionej przez producenta. W przypadku braku dostępnej poprawki należy ograniczyć uprawnienia użytkowników do minimum, monitorować logi serwera pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie wtyczki. Regularne przeglądy i audyty bezpieczeństwa są wskazane.

Źródła

• NVD
• Reference
• Reference
• Reference