Luka wtyczki MaxiBlocks Builder dla WordPress umożliwia usuwanie plików multimedialnych

Co wiadomo

Wtyczka MaxiBlocks Builder dla WordPress do wersji 2.1.8 ma lukę pozwalającą na usuwanie dowolnych plików multimedialnych w katalogu wp-content/uploads przez użytkowników z uprawnieniami co najmniej na poziomie autora. Luka wynika z niewystarczającej weryfikacji własności plików w akcji AJAX 'maxi_remove_custom_image_size'.

Wpływ biznesowy

Atakujący z uprawnieniami autora lub wyższymi mogą usuwać pliki multimedialne innych użytkowników i administratorów, co może prowadzić do utraty danych i zakłóceń w działaniu serwisu. Może to wpłynąć na integralność i dostępność zasobów witryny WordPress, szczególnie w środowiskach z wieloma użytkownikami.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki MaxiBlocks Builder i ich wdrożenie. W międzyczasie warto ograniczyć uprawnienia użytkowników do niezbędnego minimum, monitorować logi serwera pod kątem podejrzanych działań oraz rozważyć ograniczenie dostępu do katalogu wp-content/uploads. Priorytetem jest szybka weryfikacja i wdrożenie poprawek od dostawcy wtyczki.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference