Luka wtyczki WordPress Insert or Embed Articulate Content umożliwia zdalne wykonanie kodu

Co wiadomo

Wtyczka Insert or Embed Articulate Content do WordPress w wersjach do 4.3 nieprawidłowo weryfikuje zawartość przesyłanych archiwów, co pozwala użytkownikom z uprawnieniami Edytora na przesłanie pliku wykonywalnego na serwer. Może to skutkować zdalnym wykonaniem kodu na serwerach skonfigurowanych do jego uruchamiania.

Wpływ biznesowy

Ta luka pozwala użytkownikom z uprawnieniami Edytora na eskalację możliwości poprzez umieszczenie złośliwego kodu na serwerze, co może prowadzić do przejęcia kontroli nad serwerem lub wycieku danych. Operatorzy IT powinni traktować tę podatność jako poważne zagrożenie dla bezpieczeństwa środowiska WordPress, zwłaszcza jeśli serwery są publicznie dostępne i wykonują przesłane pliki.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Insert or Embed Articulate Content i ich wdrożenie. W międzyczasie ogranicz uprawnienia użytkowników Edytora oraz monitoruj logi serwera pod kątem podejrzanych aktywności. Redukcja ekspozycji serwera i regularne przeglądy bezpieczeństwa pomogą ograniczyć ryzyko. Wsparcie DataHouse obejmuje weryfikację wersji oprogramowania, zarządzane aktualizacje oraz analizę logów bezpieczeństwa.

Źródła

• NVD
• Reference