Lokalne Dołączenie Plików w wtyczce LA-Studio Element Kit dla WordPress

Co wiadomo

Wtyczka LA-Studio Element Kit dla Elementor w WordPress do wersji 1.6.1 jest podatna na lokalne dołączenie plików (LFI) przez funkcję get_type_template. Atakujący z uprawnieniami co najmniej współtwórcy mogą dołączać i wykonywać dowolne pliki PHP na serwerze, co umożliwia wykonanie złośliwego kodu.

Wpływ biznesowy

Podatność pozwala na obejście kontroli dostępu i wykonanie nieautoryzowanego kodu PHP, co może prowadzić do wycieku danych lub przejęcia kontroli nad serwerem. Organizacje korzystające z tej wtyczki powinny traktować tę lukę jako wysokiego ryzyka, zwłaszcza jeśli użytkownicy mają uprawnienia do przesyłania plików PHP.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki u dostawcy oraz ich wdrożenie. W międzyczasie ogranicz uprawnienia użytkowników do minimum, monitoruj logi serwera pod kątem podejrzanej aktywności i rozważ blokowanie przesyłania plików PHP. Przeprowadź ocenę ryzyka i priorytetyzuj działania naprawcze.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference