Analityczne wykorzystywanie plików cookies
Kallyas WordPress: luka umożliwiająca usuwanie folderów przez użytkowników z uprawnieniami Contributor
Wysokie ryzyko w motywie Kallyas WordPress do 4.21.0 - luka pozwala użytkownikom Contributor na usuwanie folderów na serwerze. Zalecane szybkie aktualizacje i monitoring.
- CVSS
- 8.1 HIGH
- EPSS
- 35.03%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- -
Co wiadomo
Motyw Kallyas dla WordPressa do wersji 4.21.0 zawiera lukę pozwalającą na usuwanie dowolnych folderów na serwerze przez uwierzytelnionych użytkowników z uprawnieniami Contributor i wyższymi. Problem wynika z niewystarczającej walidacji ścieżek plików w funkcji delete_font().
Wpływ biznesowy
Atakujący z dostępem Contributor mogą usunąć krytyczne foldery na serwerze, co może prowadzić do zakłóceń działania serwisu, utraty danych lub konieczności przywracania kopii zapasowych. Wysoki poziom ryzyka wymaga szybkiej reakcji, zwłaszcza w środowiskach produkcyjnych korzystających z motywu Kallyas.
Rekomendowane działania administratora
Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji motywu Kallyas i ich wdrożenie. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do niezbędnego minimum, monitorować logi serwera pod kątem podejrzanych działań oraz rozważyć tymczasowe wyłączenie funkcji usuwania czcionek. Priorytetowo traktuj aktualizacje i audyt bezpieczeństwa środowiska WordPress.