Luka RCE w wtyczce Custom Block Builder – Lazy Blocks dla WordPress

Co wiadomo

Wtyczka Custom Block Builder – Lazy Blocks dla WordPress w wersjach do 4.2.0 włącznie zawiera lukę umożliwiającą zdalne wykonanie kodu. Atakujący z uprawnieniami co najmniej na poziomie współtwórcy mogą uruchomić dowolny kod na serwerze poprzez funkcje klasy 'LazyBlocks_Blocks'.

Wpływ biznesowy

Luka ta stanowi poważne zagrożenie dla bezpieczeństwa serwerów hostingujących WordPress, gdyż umożliwia atakującym eskalację uprawnień i wykonanie złośliwego kodu. Może to prowadzić do przejęcia kontroli nad infrastrukturą, wycieku danych lub zakłócenia działania usług webowych. Operatorzy powinni traktować tę lukę jako wysokiego priorytetu do zaadresowania.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Custom Block Builder – Lazy Blocks i ich zastosowanie. W przypadku braku łatki warto ograniczyć uprawnienia użytkowników do minimum, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie wtyczki. Priorytetowo należy przeprowadzić przegląd zabezpieczeń i audyt dostępu.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference