Krytyczna luka w wtyczce Crawlomatic Multipage Scraper Post Generator dla WordPress

Co wiadomo

Wtyczka Crawlomatic Multipage Scraper Post Generator do WordPressa jest podatna na przesyłanie dowolnych plików z powodu braku walidacji typów plików w funkcji crawlomatic_generate_featured_image() we wszystkich wersjach do 2.6.8.1 włącznie. Atakujący bez uwierzytelnienia mogą przesłać złośliwe pliki na serwer, co może umożliwić zdalne wykonanie kodu.

Wpływ biznesowy

Ta luka stanowi poważne zagrożenie dla właścicieli stron opartych na WordPressie korzystających z tej wtyczki, ponieważ umożliwia atakującym przejęcie kontroli nad serwerem poprzez zdalne wykonanie kodu. Może to prowadzić do utraty danych, deface'u strony lub wykorzystania zasobów serwera do dalszych ataków.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie wersji używanej wtyczki Crawlomatic Multipage Scraper Post Generator i aktualizację do najnowszej dostępnej wersji, jeśli została wydana poprawka. W przypadku braku aktualizacji należy ograniczyć ekspozycję serwisu, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie wtyczki do czasu usunięcia podatności.

Źródła

• NVD
• Reference
• Reference