CVE-2025-9112: Luka w motywie Doccure dla WordPress umożliwiająca przesyłanie dowolnych plików

Co wiadomo

Motyw Doccure dla WordPress do wersji 1.5.0 włącznie posiada lukę w funkcji 'doccure_temp_file_uploader', która nieprawidłowo weryfikuje typy plików. Umożliwia to uwierzytelnionym użytkownikom z uprawnieniami subskrybenta i wyższymi przesyłanie dowolnych plików na serwer, co może prowadzić do zdalnego wykonania kodu.

Wpływ biznesowy

Luka ta stanowi poważne zagrożenie dla bezpieczeństwa stron opartych na WordPress z motywem Doccure, gdyż atakujący mogą wykorzystać ją do przesłania złośliwych plików i przejęcia kontroli nad serwerem. Może to skutkować utratą danych, przerwami w działaniu usług oraz naruszeniem integralności systemu.

Rekomendowane działania administratora

Administratorzy powinni niezwłocznie sprawdzić dostępność aktualizacji motywu Doccure i zastosować je, jeśli są dostępne. W przypadku braku łatki zaleca się ograniczenie uprawnień użytkowników, monitorowanie logów serwera pod kątem podejrzanej aktywności oraz ograniczenie możliwości przesyłania plików. Priorytetem jest szybka identyfikacja i eliminacja potencjalnych zagrożeń.

Źródła

• NVD
• Reference
• Reference