Krytyczna luka LFI w wtyczce Divi Ajax Filter dla WordPress

Co wiadomo

Wtyczka Divi Ajax Filter do WordPressa jest podatna na lokalne włączenie plików (LFI) poprzez parametr 'custom_loop_template' we wszystkich wersjach do 5.1.2 włącznie. Pozwala to nieautoryzowanym atakującym na wykonanie dowolnego kodu PHP na serwerze, jeśli parametr 'loop_templates' jest ustawiony na 'custom-template'.

Wpływ biznesowy

Ta luka umożliwia atakującym obejście kontroli dostępu, uzyskanie wrażliwych danych lub wykonanie złośliwego kodu na serwerze, co może prowadzić do poważnych naruszeń bezpieczeństwa i utraty integralności systemu. W przypadku środowisk WordPress korzystających z tej wtyczki ryzyko jest krytyczne, zwłaszcza jeśli serwer pozwala na przesyłanie i włączenie plików PHP.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie wersji wtyczki Divi Ajax Filter i aktualizację do najnowszej dostępnej wersji, jeśli została wydana poprawka. W przypadku braku aktualizacji należy ograniczyć dostęp do parametrów umożliwiających włączenie niestandardowych szablonów oraz monitorować logi serwera pod kątem podejrzanej aktywności. Dodatkowo warto ograniczyć możliwość przesyłania plików PHP i zweryfikować konfigurację serwera. DataHouse może pomóc w weryfikacji wersji, zarządzaniu aktualizacjami oraz monitoringu bezpieczeństwa.

Źródła

• NVD
• Reference
• Reference