CVE-2025-6746: podatność Local File Inclusion w wtyczce WoodMart dla WordPress

Co wiadomo

Wtyczka WoodMart dla WordPress do wersji 8.2.3 włącznie jest podatna na Local File Inclusion poprzez atrybut 'layout'. Umożliwia to atakującym z uprawnieniami co najmniej na poziomie Współpracownika wczytanie i wykonanie dowolnych plików PHP na serwerze.

Wpływ biznesowy

Podatność pozwala na obejście mechanizmów kontroli dostępu, kradzież wrażliwych danych oraz wykonanie złośliwego kodu PHP, co może prowadzić do poważnych naruszeń bezpieczeństwa i utraty integralności systemu. Atakujący mogą wykorzystać tę lukę do eskalacji uprawnień i przejęcia kontroli nad serwerem hostingowym.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki WoodMart u dostawcy oraz ich wdrożenie. W międzyczasie ogranicz dostęp do panelu WordPress tylko do zaufanych użytkowników oraz monitoruj logi serwera pod kątem podejrzanej aktywności. Warto również przeprowadzić audyt uprawnień użytkowników i usunąć niepotrzebne konta z poziomem dostępu Contributor lub wyższym.

Źródła

• NVD
• Reference
• Reference