Krytyczna luka RCE w wtyczce Cloudflare Image Resizing dla WordPress

Co wiadomo

Wtyczka Cloudflare Image Resizing dla WordPress do wersji 1.5.6 włącznie zawiera krytyczną lukę umożliwiającą zdalne wykonanie kodu (RCE) z powodu braku uwierzytelnienia i niewystarczającej sanitacji w metodzie hook_rest_pre_dispatch(). Atakujący bez uwierzytelnienia mogą wstrzykiwać złośliwy kod PHP.

Wpływ biznesowy

Luka ta stanowi poważne zagrożenie dla stron opartych na WordPress z zainstalowaną podatną wersją wtyczki, umożliwiając atakującym przejęcie kontroli nad serwerem. Może to prowadzić do kradzieży danych, deface'u witryny lub dalszej eskalacji ataku w infrastrukturze IT. Operatorzy powinni traktować tę lukę jako priorytetową do zaadresowania.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Cloudflare Image Resizing i jej instalację. W przypadku braku łatki należy ograniczyć dostęp do API WordPress, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie wtyczki. Priorytetowo należy przeprowadzić audyt bezpieczeństwa i weryfikację integralności systemu.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference