Luka wtyczki Assistant for NextGEN Gallery umożliwia usuwanie katalogów

Co wiadomo

Wtyczka Assistant for NextGEN Gallery dla WordPressa do wersji 1.0.9 zawiera lukę pozwalającą na usunięcie dowolnych katalogów na serwerze przez nieautoryzowanych atakujących. Problem wynika z niewystarczającej walidacji ścieżek plików w REST API.

Wpływ biznesowy

Atakujący mogą wykorzystać tę lukę do usunięcia istotnych katalogów na serwerze, co może skutkować całkowitą utratą dostępności usług. Dla operatorów IT oznacza to ryzyko poważnych zakłóceń w działaniu infrastruktury oraz potencjalne straty danych.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Assistant for NextGEN Gallery i ich zastosowanie. W przypadku braku łatki należy ograniczyć dostęp do endpointu /wp-json/nextgenassistant/v1.0.0/control, monitorować logi pod kątem podejrzanych działań oraz priorytetyzować działania zabezpieczające w środowisku WordPress.

Źródła

• NVD
• Reference
• Reference
• Reference