Krytyczna luka w eMagicOne Store Manager dla WooCommerce umożliwia usuwanie plików

Co wiadomo

Wtyczka eMagicOne Store Manager dla WooCommerce do WordPressa posiada lukę pozwalającą na usuwanie dowolnych plików na serwerze przez nieautoryzowanych atakujących, jeśli domyślne hasło pozostaje niezmienione lub atakujący uzyska dostęp do poświadczeń. Luka wynika z niewystarczającej walidacji ścieżek plików w funkcji delete_file() we wszystkich wersjach do 1.2.5 włącznie.

Wpływ biznesowy

Atakujący mogą usunąć krytyczne pliki serwera, co może prowadzić do zdalnego wykonania kodu i całkowitego przejęcia serwera. Zagrożenie jest szczególnie wysokie w przypadku pozostawienia domyślnego hasła lub wycieku poświadczeń, co stwarza poważne ryzyko dla integralności i dostępności systemu e-commerce.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie i aktualizację wtyczki do najnowszej wersji udostępnionej przez producenta. Należy zmienić domyślne hasło oraz ograniczyć dostęp do panelu administracyjnego. Warto również przeanalizować logi pod kątem podejrzanych działań i ograniczyć ekspozycję serwera na nieautoryzowane połączenia.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference