Luka Path Traversal w wtyczce Custom Query Shortcode dla WordPress

Co wiadomo

Wtyczka Custom Query Shortcode dla WordPress do wersji 0.4.0 włącznie zawiera lukę Path Traversal w parametrze 'lens'. Pozwala to uwierzytelnionym użytkownikom z uprawnieniami co najmniej na poziomie Współpracownika na odczyt plików na serwerze, które mogą zawierać wrażliwe dane.

Wpływ biznesowy

Atakujący z dostępem na poziomie Współpracownika mogą wykorzystać tę lukę do odczytu poufnych plików na serwerze, co może prowadzić do wycieku danych i naruszenia bezpieczeństwa aplikacji oraz infrastruktury. Może to wpłynąć na integralność i poufność danych przechowywanych w środowisku WordPress.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Custom Query Shortcode i jej instalację. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do niezbędnego minimum, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie wtyczki. Priorytetowo traktuj ocenę ryzyka i wdrożenie środków zaradczych.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference