Krytyczna luka w motywie Alone WordPress umożliwiająca zdalne wykonanie kodu

Co wiadomo

Motyw Alone – Charity Multipurpose Non-profit WordPress Theme do wersji 7.8.3 włącznie posiada krytyczną lukę pozwalającą na przesyłanie dowolnych plików bez odpowiednich uprawnień. Atakujący mogą przesłać zdalnie webshell ukryty w pliku ZIP, co umożliwia zdalne wykonanie kodu na serwerze.

Wpływ biznesowy

Luka o wysokim poziomie zagrożenia (CVSS 9.8) naraża strony oparte na tym motywie na przejęcie kontroli nad serwerem, co może prowadzić do wycieku danych, defacementu witryny lub dalszych ataków. Właściciele i administratorzy stron WordPress korzystających z motywu Alone powinni traktować tę podatność jako krytyczną i priorytetowo ją adresować.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie wersji motywu Alone i aktualizację do najnowszej dostępnej wersji po usunięciu luki przez dostawcę. W przypadku braku łatki należy ograniczyć dostęp do funkcji importu, monitorować logi serwera pod kątem podejrzanych przesyłanych plików oraz rozważyć tymczasowe wyłączenie funkcji importu pluginów. Warto również przeprowadzić audyt bezpieczeństwa i weryfikację integralności plików na serwerze.

Źródła

• NVD
• Reference
• Reference