Luka wtyczki Fancy Product Designer dla WordPress umożliwia wyciek informacji

Co wiadomo

Wtyczka Fancy Product Designer dla WordPress w wersjach do 6.4.8 włącznie posiada lukę umożliwiającą nieautoryzowany dostęp do plików serwera poprzez niewystarczającą walidację parametru 'url' w akcji AJAX 'fpd_custom_uplod_file'. Atakujący mogą odczytać wrażliwe pliki, takie jak wp-config.php.

Wpływ biznesowy

Ta luka może prowadzić do wycieku poufnych danych konfiguracyjnych serwera, co zwiększa ryzyko dalszych ataków i naruszeń bezpieczeństwa. Operatorzy IT powinni traktować tę podatność jako średniego ryzyka, zwłaszcza w środowiskach, gdzie wtyczka jest aktywnie używana i dostępna z internetu.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Fancy Product Designer i ich wdrożenie. W międzyczasie warto ograniczyć dostęp do funkcji AJAX odpowiedzialnej za obsługę plików oraz monitorować logi serwera pod kątem podejrzanych żądań związanych z parametrem 'url'.

Źródła

• NVD
• Reference
• Reference