Analityczne wykorzystywanie plików cookies
Krytyczna luka wtyczki Blocksy Companion dla WordPress umożliwiająca zdalne wykonanie kodu
Krytyczna luka w wtyczce Blocksy Companion dla WordPress pozwala na przesyłanie złośliwych plików i zdalne wykonanie kodu. Sprawdź zalecenia bezpieczeństwa.
- CVSS
- 9.8 CRITICAL
- EPSS
- 45.66%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- -
Co wiadomo
Wtyczka Blocksy Companion do WordPressa w wersjach do 2.1.46 włącznie zawiera krytyczną lukę umożliwiającą nieautoryzowanym atakującym przesyłanie dowolnych plików poprzez funkcję save_attachments. Luka wynika z błędnej walidacji rozszerzeń plików w rozszerzeniu Custom Fonts, co pozwala na przesłanie plików wykonywalnych z podwójnym rozszerzeniem.
Wpływ biznesowy
Eksploatacja tej luki może prowadzić do zdalnego wykonania kodu na serwerze, co zagraża integralności i dostępności witryny oraz może skutkować przejęciem kontroli nad infrastrukturą. Zagrożenie dotyczy instalacji wersji premium wtyczki Blocksy Companion Pro z aktywnymi rozszerzeniami WooCommerce Extra (Advanced Reviews) oraz Custom Fonts. Wersja darmowa wtyczki nie jest podatna.
Rekomendowane działania administratora
Administratorzy powinni niezwłocznie zweryfikować, czy korzystają z podatnej wersji wtyczki Blocksy Companion Pro z wymienionymi rozszerzeniami. Zaleca się aktualizację do najnowszej wersji dostarczonej przez producenta, ograniczenie dostępu do funkcji przesyłania plików, monitorowanie logów pod kątem podejrzanej aktywności oraz weryfikację konfiguracji wtyczek. W przypadku braku dostępnej poprawki należy rozważyć tymczasowe wyłączenie podatnych rozszerzeń.