Krytyczna luka LFI w wtyczce Visual Composer Website Builder dla WordPress

Co wiadomo

Wtyczka Visual Composer Website Builder dla WordPress do wersji 45.16.0 włącznie jest podatna na lokalne włączenie plików (LFI) poprzez parametr `vcv-template`. Pozwala to nieautoryzowanym atakującym na wykonanie dowolnego kodu PHP na serwerze.

Wpływ biznesowy

Luka umożliwia atakującym obejście mechanizmów kontroli dostępu, dostęp do poufnych danych oraz wykonanie złośliwego kodu na serwerze, co może prowadzić do poważnych naruszeń bezpieczeństwa i utraty integralności systemu. Zagrożenie jest krytyczne, szczególnie w środowiskach z publicznym dostępem do WordPressa.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Visual Composer Website Builder i ich wdrożenie. W przypadku braku łatki należy ograniczyć dostęp do serwera, zweryfikować logi pod kątem podejrzanej aktywności oraz przeprowadzić przegląd uprawnień i konfiguracji. Warto również rozważyć ograniczenie możliwości przesyłania i włączania plików. DataHouse może pomóc w weryfikacji wersji, zarządzaniu aktualizacjami oraz monitoringu bezpieczeństwa środowiska.

Źródła

• NVD
• Reference
• Reference