Krytyczna luka wtyczki WP Webhooks dla WordPress umożliwia kopiowanie dowolnych plików

Co wiadomo

Wtyczka WP Webhooks dla WordPress do wersji 3.3.5 włącznie posiada lukę pozwalającą nieautoryzowanym atakującym na kopiowanie dowolnych plików na serwerze. Atakujący mogą m.in. uzyskać dostęp do pliku wp-config.php, co ujawnia dane bazy danych.

Wpływ biznesowy

Luka o krytycznym poziomie zagrożenia (CVSS 9.8) umożliwia zdalne kopiowanie plików bez uwierzytelnienia, co może prowadzić do wycieku poufnych danych, w tym poświadczeń bazy danych. Operatorzy stron WordPress korzystających z tej wtyczki powinni traktować to zagrożenie priorytetowo, ponieważ atak może skutkować poważnym naruszeniem bezpieczeństwa i utratą danych.

Rekomendowane działania administratora

Zaleca się jak najszybszą aktualizację wtyczki WP Webhooks do wersji nowszej niż 3.3.5, jeśli jest dostępna. W przypadku braku aktualizacji należy ograniczyć dostęp do serwera oraz monitorować logi pod kątem podejrzanych działań związanych z kopiowaniem plików. Warto również przeprowadzić audyt bezpieczeństwa i rozważyć tymczasowe wyłączenie wtyczki do czasu załatania luki.

Źródła

• NVD
• Reference
• Reference
• Reference