Krytyczna luka RCE w wtyczce WPFunnels dla WooCommerce do wersji 3.12.7

Co wiadomo

Wtyczka WPFunnels – Funnel Builder dla WooCommerce z funkcją Checkout i One Click Upsell jest podatna na zdalne wykonanie kodu (RCE) przez niezautoryzowanych atakujących. Luka wynika z nieoczyszczonego zapisu danych z parametru 'postData' do pliku .log, który następnie jest dołączany i wykonywany przez PHP.

Wpływ biznesowy

Atakujący mogą zdalnie wykonać dowolny kod na serwerze, co może prowadzić do przejęcia kontroli nad stroną, kradzieży danych lub dalszej eskalacji ataku. Luka wymaga włączenia logów i interakcji administratora z zainfekowanym plikiem logów, jednak etap wstrzyknięcia jest całkowicie niezautoryzowany, co zwiększa ryzyko wykorzystania. Organizacje korzystające z tej wtyczki powinny traktować tę lukę jako krytyczną i pilnie podjąć działania.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki WPFunnels i ich wdrożenie. W przypadku braku łatki należy wyłączyć funkcję logowania w ustawieniach wtyczki, ograniczyć dostęp administratorów do interfejsu logów oraz monitorować logi serwera pod kątem podejrzanej aktywności. Warto również przeprowadzić audyt bezpieczeństwa i weryfikację integralności plików serwera.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference