Luka wtyczki BeeTeam368 Extensions dla WordPress umożliwia przesyłanie dowolnych plików

Co wiadomo

Wtyczka BeeTeam368 Extensions dla WordPress do wersji 2.3.5 ma lukę pozwalającą uwierzytelnionym użytkownikom z poziomem Subskrybenta lub wyższym na przesyłanie dowolnych plików bez odpowiedniej walidacji typów plików. Może to prowadzić do zdalnego wykonania kodu na serwerze.

Wpływ biznesowy

Atakujący z dostępem do konta o poziomie Subskrybenta lub wyższym mogą przesłać złośliwe pliki na serwer, co stwarza ryzyko przejęcia kontroli nad infrastrukturą WordPress. Może to skutkować poważnymi naruszeniami bezpieczeństwa, w tym utratą danych i przerwami w działaniu usług.

Rekomendowane działania administratora

Zaleca się jak najszybsze zaktualizowanie wtyczki BeeTeam368 Extensions do najnowszej wersji udostępnionej przez producenta. W przypadku braku dostępnej aktualizacji należy ograniczyć dostęp użytkowników do minimum, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie wtyczki. Przegląd i wzmocnienie polityk dostępu oraz audyt bezpieczeństwa serwera są wskazane.

Źródła

• NVD
• Reference
• Reference