Krytyczna luka wtyczki Instant Appointment dla WordPress umożliwiająca zdalne wykonanie kodu

Co wiadomo

Wtyczka Instant Appointment dla WordPress do wersji 1.2 włącznie posiada lukę umożliwiającą nieautoryzowanym atakującym przesyłanie dowolnych plików na serwer poprzez brak walidacji typu pliku w funkcji insapp_upload_image_as_attachment. Może to prowadzić do zdalnego wykonania kodu na serwerze.

Wpływ biznesowy

Luka ta stanowi poważne zagrożenie dla bezpieczeństwa serwisów korzystających z tej wtyczki, umożliwiając atakującym przejęcie kontroli nad serwerem poprzez przesłanie i wykonanie złośliwego kodu. Może to skutkować utratą danych, przerwami w działaniu usług oraz naruszeniem integralności i poufności systemów IT.

Rekomendowane działania administratora

Administratorzy powinni niezwłocznie zweryfikować wersję wtyczki Instant Appointment i zaktualizować ją do najnowszej dostępnej wersji, jeśli została wydana poprawka. W przypadku braku aktualizacji zaleca się ograniczenie dostępu do funkcji przesyłania plików, monitorowanie logów serwera pod kątem podejrzanej aktywności oraz przegląd i wzmocnienie polityk bezpieczeństwa serwera.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference