Analityczne wykorzystywanie plików cookies
LWS Optimize – podatność na odczyt dowolnych plików wtyczki WordPress
Wtyczka LWS Optimize do WordPress ma lukę pozwalającą na odczyt dowolnych plików przez użytkowników z uprawnieniami edytora. Sprawdź zalecenia bezpieczeństwa.
- CVSS
- 4.9 MEDIUM
- EPSS
- 26.12%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- -
Co wiadomo
Wtyczka LWS Optimize – All-in-One Speed Booster & Cache Tools dla WordPress w wersjach do 3.3.19 umożliwia atakującym z uprawnieniami edytora lub wyższymi odczyt dowolnych plików na serwerze. Problem wynika z niewłaściwej walidacji ścieżek plików CSS, co pozwala na dostęp do plików spoza katalogu ABSPATH.
Wpływ biznesowy
Atakujący z uprawnieniami edytora mogą uzyskać dostęp do poufnych plików na serwerze, co może prowadzić do wycieku danych lub dalszych ataków na infrastrukturę. Organizacje korzystające z tej wtyczki powinny traktować tę lukę jako istotne zagrożenie dla bezpieczeństwa swoich stron WordPress.
Rekomendowane działania administratora
Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki LWS Optimize i ich wdrożenie. W przypadku braku łatki należy ograniczyć dostęp użytkowników do poziomu niższego niż edytor oraz monitorować logi serwera pod kątem podejrzanych odczytów plików. Dodatkowo warto rozważyć audyt uprawnień i wzmocnienie kontroli dostępu.