Luka wtyczek Appointment Booking Calendar i Scheduling WordPress umożliwia zdalne wykonanie kodu

Co wiadomo

Wtyczki Appointment Booking Calendar i Scheduling do WordPressa w wersjach do 1.1.28 nie weryfikują danych przed deserializacją w PHP, co pozwala nieautoryzowanym atakującym na wstrzyknięcie dowolnych obiektów PHP. Jeśli na stronie istnieje odpowiedni łańcuch gadżetów, luka może zostać wykorzystana do zdalnego wykonania kodu.

Wpływ biznesowy

Atakujący mogą wykorzystać tę lukę do przejęcia kontroli nad serwerem WWW, co zagraża integralności i dostępności usług oraz bezpieczeństwu danych. Może to prowadzić do poważnych zakłóceń w działaniu witryny oraz potencjalnych strat finansowych i wizerunkowych dla organizacji.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczek Appointment Booking Calendar i Scheduling oraz ich instalację. W przypadku braku łatki należy ograniczyć ekspozycję serwisu, monitorować logi pod kątem podejrzanej aktywności i priorytetyzować działania naprawcze związane z tą luką.

Źródła

• NVD
• Reference