Luka wtyczki Listeo Core dla WordPress umożliwia nieautoryzowany upload plików

Co wiadomo

Wtyczka Listeo Core dla WordPress w wersjach do 2.0.27 włącznie posiada lukę umożliwiającą nieautoryzowany upload dowolnych plików multimedialnych przez funkcję listeo_core_handle_dropped_media. Brak odpowiednich kontroli uprawnień na końcówce AJAX pozwala atakującym na dodanie plików do biblioteki mediów bez konieczności logowania.

Wpływ biznesowy

Ta luka może prowadzić do wprowadzenia niepożądanych plików do zasobów witryny, co może skutkować naruszeniem integralności danych i potencjalnym wykorzystaniem do dalszych ataków. Choć bezpośrednie wykonanie kodu nie jest możliwe, obecność nieautoryzowanych plików może wpłynąć na reputację i bezpieczeństwo infrastruktury IT.

Rekomendowane działania administratora

Administratorzy powinni niezwłocznie sprawdzić dostępność aktualizacji wtyczki Listeo Core i zastosować najnowszą wersję dostarczoną przez producenta. W międzyczasie zaleca się ograniczenie dostępu do punktów końcowych AJAX, monitorowanie logów serwera pod kątem podejrzanych uploadów oraz przegląd i usunięcie nieautoryzowanych plików w bibliotece mediów.

Źródła

• NVD
• Reference
• Reference