Analityczne wykorzystywanie plików cookies
Luka Path Traversal w wtyczce Zombify dla WordPress (CVE-2025-8385)
Wtyczka Zombify do WordPress ma lukę Path Traversal pozwalającą uwierzytelnionym użytkownikom czytać pliki systemowe. Sprawdź zalecenia bezpieczeństwa.
- CVSS
- 6.8 MEDIUM
- EPSS
- 29.67%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- -
Co wiadomo
Wtyczka Zombify dla WordPress w wersjach do 1.7.5 włącznie posiada lukę Path Traversal, umożliwiającą uwierzytelnionym użytkownikom z poziomem subskrybenta lub wyższym odczyt dowolnych plików na serwerze. Luka wynika z niewystarczającej walidacji wejścia w funkcji zf_get_file_by_url i wymaga wyścigu czasowego, ponieważ generowany plik jest natychmiast usuwany.
Wpływ biznesowy
Atakujący z dostępem subskrybenta mogą wykorzystać tę lukę do odczytu wrażliwych plików systemowych, co może prowadzić do ujawnienia poufnych informacji i dalszych ataków na infrastrukturę. Wykorzystanie luki wymaga uwierzytelnienia, jednak potencjalne skutki dla bezpieczeństwa serwera i danych są poważne, zwłaszcza w środowiskach z wieloma użytkownikami.
Rekomendowane działania administratora
Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Zombify i ich wdrożenie. W międzyczasie warto ograniczyć dostęp użytkowników do poziomu subskrybenta oraz monitorować logi serwera pod kątem podejrzanych żądań związanych z funkcją zf_get_file_by_url. Priorytetem jest minimalizacja ryzyka poprzez ograniczenie uprawnień i regularne przeglądy bezpieczeństwa.