Analityczne wykorzystywanie plików cookies
Meta Box WordPress Plugin podatny na usuwanie plików (CVE-2025-14675)
Wtyczka Meta Box dla WordPress umożliwia usuwanie plików przez użytkowników Contributor i wyższych, co może prowadzić do zdalnego wykonania kodu. Sprawdź zalecenia bezpieczeństwa.
- CVSS
- 7.2 HIGH
- EPSS
- 47.56%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- -
Co wiadomo
Wtyczka Meta Box dla WordPressa do wersji 5.11.1 posiada lukę umożliwiającą uwierzytelnionym użytkownikom z uprawnieniami Contributor i wyższymi usuwanie dowolnych plików na serwerze poprzez niewystarczającą walidację ścieżek w funkcji ajax_delete_file. Może to prowadzić do zdalnego wykonania kodu, np. po usunięciu pliku wp-config.php.
Wpływ biznesowy
Atakujący z dostępem Contributor mogą usunąć krytyczne pliki serwera, co stwarza ryzyko przejęcia kontroli nad serwerem poprzez zdalne wykonanie kodu. Dla operatorów IT oznacza to poważne zagrożenie dla integralności i dostępności usług WordPress, wymagające szybkiej reakcji i aktualizacji wtyczki.
Rekomendowane działania administratora
Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Meta Box i jej instalację. W przypadku braku łatki należy ograniczyć dostęp użytkowników do poziomu Contributor i wyższego oraz monitorować logi pod kątem podejrzanych działań związanych z usuwaniem plików. Warto również rozważyć dodatkowe zabezpieczenia serwera i audyt uprawnień.