Luka wtyczki StoreEngine dla WordPress umożliwiająca zdalne wykonanie kodu

Co wiadomo

Wtyczka StoreEngine dla WordPress, używana do e-commerce, posiada lukę pozwalającą na przesyłanie dowolnych plików przez użytkowników z uprawnieniami subskrybenta i wyższymi. Brak walidacji typu pliku w funkcji import() w wersjach do 1.5.0 włącznie może prowadzić do zdalnego wykonania kodu na serwerze.

Wpływ biznesowy

Atakujący z kontem subskrybenta lub wyższym mogą przesłać złośliwe pliki na serwer, co stwarza ryzyko przejęcia kontroli nad infrastrukturą WordPress. Może to skutkować poważnymi naruszeniami bezpieczeństwa, w tym utratą danych i przerwami w działaniu usług e-commerce.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki StoreEngine i ich wdrożenie. W przypadku braku łatki, ogranicz dostęp użytkowników do minimum, monitoruj logi pod kątem podejrzanej aktywności oraz rozważ tymczasowe wyłączenie funkcji importu. Priorytetyzuj działania zabezpieczające i audyt środowiska WordPress.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference