Luka wtyczki WP Foodbakery dla WordPress umożliwia usuwanie plików

Co wiadomo

Wtyczka WP Foodbakery dla WordPress do wersji 4.9 ma lukę pozwalającą na usuwanie dowolnych plików przez użytkowników z uprawnieniami subskrybenta i wyższymi. Luka wynika z niewystarczającej walidacji ścieżek plików w funkcji odpowiedzialnej za usuwanie kopii zapasowych lokalizacji.

Wpływ biznesowy

Atakujący z dostępem subskrybenta mogą usunąć krytyczne pliki serwera, takie jak wp-config.php, co może prowadzić do zdalnego wykonania kodu i poważnych naruszeń bezpieczeństwa. Organizacje korzystające z tej wtyczki powinny traktować tę lukę jako wysokiego ryzyka, szczególnie w środowiskach produkcyjnych WordPress.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki WP Foodbakery i ich zastosowanie. W przypadku braku łatki należy ograniczyć dostęp użytkowników do minimum, monitorować logi pod kątem podejrzanych działań oraz rozważyć tymczasowe wyłączenie wtyczki. Priorytetowo należy przeprowadzić audyt bezpieczeństwa i zabezpieczyć krytyczne pliki serwera.

Źródła

• NVD
• Reference
• Reference