Analityczne wykorzystywanie plików cookies
Luka Directory Traversal w wtyczce Ninja Forms - Excel Export dla WordPress
Podatność Directory Traversal w wtyczce Ninja Forms Excel Export dla WordPress umożliwia zapis plików .xls/.xlsx w dowolnych lokalizacjach serwera przez uwierzytelnionych użytkowników.
- CVSS
- 4.3 MEDIUM
- EPSS
- 37.38%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- -
Co wiadomo
Wtyczka Ninja Forms - Excel Export dla WordPress w wersjach do 3.3.6 włącznie jest podatna na atak Directory Traversal poprzez parametr 'spreadsheet_export_tmp_name'. Umożliwia to uwierzytelnionym użytkownikom z uprawnieniami subskrybenta lub wyższymi zapis plików .xls/.xlsx w dowolnych lokalizacjach na serwerze.
Wpływ biznesowy
Podatność pozwala na zapis plików w wybranych lokalizacjach serwera, co może zostać wykorzystane do przygotowania kolejnych ataków. Może to prowadzić do naruszenia integralności systemu i zwiększenia ryzyka ataków na infrastrukturę IT. Organizacje korzystające z tej wtyczki powinny zwrócić uwagę na potencjalne zagrożenia związane z nieautoryzowanym zapisem plików.
Rekomendowane działania administratora
Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Ninja Forms - Excel Export i ich wdrożenie. W przypadku braku łatki należy ograniczyć dostęp do funkcji eksportu do zaufanych użytkowników oraz monitorować logi serwera pod kątem podejrzanych działań. Warto również przeprowadzić przegląd uprawnień użytkowników i ograniczyć je do niezbędnego minimum.