Analityczne wykorzystywanie plików cookies
Luka Directory Traversal w wtyczce Nexter Blocks do WordPress
Nexter Blocks do WordPress ma lukę Directory Traversal umożliwiającą usuwanie plików JS/CSS przez uwierzytelnionych użytkowników. Zalecane aktualizacje i monitorowanie.
- CVSS
- 4.3 MEDIUM
- EPSS
- 44.51%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- -
Co wiadomo
Wtyczka Nexter Blocks – Gutenberg Blocks, Page Builder & AI Website Builder dla WordPress do wersji 5.0.0 włącznie jest podatna na atak Directory Traversal poprzez parametr 'plus_name'. Umożliwia to uwierzytelnionym użytkownikom z poziomem subskrybenta lub wyższym usuwanie wybranych plików JS/CSS na serwerze.
Wpływ biznesowy
Atakujący mogą usunąć krytyczne pliki wtyczek i motywów, co może prowadzić do zakłóceń działania strony, w tym do odmowy usługi. Właściciele infrastruktury powinni zwrócić uwagę na potencjalne ryzyko utraty integralności zasobów i dostępności serwisu.
Rekomendowane działania administratora
Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki u dostawcy oraz jej wdrożenie. W międzyczasie warto ograniczyć dostęp użytkowników do poziomu subskrybenta i wyżej oraz monitorować logi serwera pod kątem podejrzanych działań związanych z usuwaniem plików.