Krytyczna luka w motywie WebStack dla WordPress umożliwiająca przesyłanie dowolnych plików

Co wiadomo

Motyw WebStack dla WordPress do wersji 1.2024 włącznie posiada lukę w funkcji io_img_upload(), która nie weryfikuje typu przesyłanych plików. Pozwala to nieautoryzowanym atakującym na przesłanie dowolnych plików na serwer, co może prowadzić do zdalnego wykonania kodu.

Wpływ biznesowy

Luka o wysokim poziomie ryzyka (CVSS 9.8) umożliwia atakującym przejęcie kontroli nad serwerem WordPress poprzez przesłanie i wykonanie złośliwego kodu. Może to skutkować poważnymi naruszeniami bezpieczeństwa, utratą danych oraz przerwami w działaniu usług internetowych. Operatorzy powinni traktować tę lukę jako krytyczną i priorytetowo ją adresować.

Rekomendowane działania administratora

Administratorzy powinni niezwłocznie sprawdzić dostępność aktualizacji motywu WebStack i zastosować je, jeśli są dostępne. W przypadku braku łatki zaleca się ograniczenie możliwości przesyłania plików, przegląd logów serwera pod kątem podejrzanej aktywności oraz monitorowanie systemu pod kątem nieautoryzowanych zmian. Warto również rozważyć tymczasowe wyłączenie funkcji przesyłania plików w motywie do czasu załatania luki.

Źródła

• NVD
• Reference
• Reference
• Reference