Analityczne wykorzystywanie plików cookies
CVE-2025-4857: podatność Local File Inclusion w wtyczce Newsletters dla WordPress
Wtyczka Newsletters dla WordPress do wersji 4.9.9.9 ma podatność LFI umożliwiającą wykonanie kodu PHP przez administratorów. Sprawdź zalecenia bezpieczeństwa.
- CVSS
- 7.2 HIGH
- EPSS
- 47.78%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- newsletters
Co wiadomo
Wtyczka Newsletters dla WordPress w wersjach do 4.9.9.9 włącznie jest podatna na Local File Inclusion poprzez parametr 'file'. Atakujący z uprawnieniami administratora mogą włączyć i wykonać dowolne pliki na serwerze, co umożliwia wykonanie kodu PHP.
Wpływ biznesowy
Podatność pozwala na obejście mechanizmów kontroli dostępu i wykonanie złośliwego kodu na serwerze, co może prowadzić do wycieku danych lub przejęcia kontroli nad infrastrukturą. Zagrożenie jest istotne dla właścicieli stron WordPress korzystających z tej wtyczki, zwłaszcza gdy dopuszczalne jest przesyłanie plików uznawanych za bezpieczne.
Rekomendowane działania administratora
Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Newsletters u dostawcy oraz ich wdrożenie. W międzyczasie warto ograniczyć uprawnienia użytkowników, monitorować logi serwera pod kątem podejrzanej aktywności oraz ograniczyć możliwość przesyłania i włączania plików przez użytkowników. Priorytetowo traktuj audyt i zabezpieczenie środowiska WordPress.