Krytyczna luka w motywie Streamit WordPress umożliwiająca zdalne wykonanie kodu

Co wiadomo

Motyw Streamit WordPress do wersji 4.5.0 nie weryfikuje autoryzacji ani nonce na jednej z niezabezpieczonych tras AJAX, co pozwala atakującym na wywołanie dowolnych funkcji PHP z własnymi argumentami. Luka ta umożliwia eskalację uprawnień i zdalne wykonanie kodu, na przykład poprzez utworzenie konta administratora.

Wpływ biznesowy

Atakujący mogą wykorzystać tę lukę do przejęcia kontroli nad stroną WordPress, co prowadzi do poważnych zagrożeń bezpieczeństwa, w tym utraty danych, deface'u strony czy wykorzystania zasobów serwera do dalszych ataków. Organizacje korzystające z motywu Streamit powinny traktować tę lukę jako krytyczną i priorytetowo podejść do jej załatania lub ograniczenia ekspozycji.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji motywu Streamit i ich wdrożenie. W przypadku braku łatki należy ograniczyć dostęp do podatnej funkcji, przeglądnąć logi pod kątem podejrzanej aktywności oraz zredukować ekspozycję serwisu w sieci. Wsparcie DataHouse obejmuje weryfikację wersji, zarządzane aktualizacje oraz monitorowanie logów bezpieczeństwa.

Źródła

• NVD
• Reference