Krytyczna luka wtyczki Request a Quote for WooCommerce umożliwiająca zdalne przesyłanie plików

Co wiadomo

Wtyczka Request a Quote for WooCommerce dla WordPressa do wersji 2.9.2 włącznie zawiera krytyczną lukę umożliwiającą nieautoryzowanym atakującym przesyłanie dowolnych plików, w tym wykonywalnych PHP, poprzez funkcję afrfq_submit_quote_via_popup(). Luka wynika z braku walidacji rozszerzeń i typów MIME przesyłanych plików.

Wpływ biznesowy

Luka ta może pozwolić atakującym na umieszczenie złośliwych plików na serwerze, co może prowadzić do przejęcia kontroli nad stroną internetową lub eskalacji uprawnień. W przypadku aktywnego publicznego przepływu multi-page popup istnieje ryzyko poważnych naruszeń bezpieczeństwa i utraty danych. Operatorzy powinni traktować tę lukę jako krytyczną i priorytetowo podejść do jej eliminacji.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki u dostawcy i ich wdrożenie. W międzyczasie warto ograniczyć dostęp do funkcji przesyłania plików oraz monitorować logi serwera pod kątem podejrzanych aktywności. Redukcja ekspozycji serwera na publiczny dostęp do katalogów upload może zmniejszyć ryzyko. DataHouse wspiera weryfikację wersji wtyczek oraz zarządzanie aktualizacjami, co pomaga minimalizować ryzyko związane z takimi lukami.

Źródła

• NVD
• Reference
• Reference