Luka wtyczki Redirection for Contact Form 7 umożliwia usuwanie plików na serwerze

Co wiadomo

Wtyczka Redirection for Contact Form 7 dla WordPressa do wersji 3.2.4 ma lukę pozwalającą na usuwanie dowolnych plików na serwerze przez nieautoryzowanych atakujących. Błąd wynika z niewystarczającej walidacji ścieżek plików w funkcji delete_associated_files i może prowadzić do wykonania zdalnego kodu.

Wpływ biznesowy

Atakujący mogą usunąć krytyczne pliki serwera, takie jak wp-config.php, co może skutkować przejęciem kontroli nad serwerem i poważnymi konsekwencjami dla dostępności i bezpieczeństwa usług. Operatorzy powinni traktować tę lukę jako wysokiego ryzyka i priorytetowo podjąć działania naprawcze.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Redirection for Contact Form 7 i ich instalację. W przypadku braku łatki należy ograniczyć dostęp do funkcji usuwania plików, monitorować logi serwera pod kątem podejrzanych działań oraz ograniczyć ekspozycję serwera. Priorytetowo należy przeprowadzić audyt bezpieczeństwa i przygotować plan reakcji na incydenty.

Źródła

• NVD
• Reference
• Reference