Krytyczna luka wtyczki Podlove Podcast Publisher dla WordPress umożliwiająca przesyłanie dowolnych plików

Co wiadomo

Wtyczka Podlove Podcast Publisher dla WordPress do wersji 4.5.1 ma lukę pozwalającą na przesyłanie dowolnych plików przez brak walidacji typów plików w funkcji 'podlove_handle_cache_files'. Atakujący bez uwierzytelnienia mogą przesłać złośliwe pliki na serwer, co może prowadzić do zdalnego wykonania kodu.

Wpływ biznesowy

Luka o krytycznym poziomie CVSS 9.8 naraża serwery WordPress korzystające z podatnej wersji wtyczki na przejęcie kontroli przez atakujących. Może to skutkować poważnymi naruszeniami bezpieczeństwa, w tym utratą danych, defacementem strony lub wykorzystaniem zasobów serwera do dalszych ataków.

Rekomendowane działania administratora

Administratorzy powinni niezwłocznie zweryfikować wersję wtyczki Podlove Podcast Publisher i zaktualizować ją do najnowszej dostępnej wersji. W przypadku braku aktualizacji zaleca się ograniczenie dostępu do funkcji przesyłania plików, przegląd logów serwera pod kątem podejrzanej aktywności oraz monitorowanie systemu pod kątem nietypowych zachowań. Priorytetem jest szybkie załatanie luki lub wdrożenie środków ograniczających ryzyko.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference