Luka wtyczki Task Manager dla WordPress umożliwia odczyt dowolnych plików

Co wiadomo

Wtyczka Task Manager dla WordPress w wersjach do 3.0.2 włącznie posiada lukę umożliwiającą uwierzytelnionym użytkownikom z poziomem Subskrybenta lub wyższym odczyt dowolnych plików na serwerze. Luka występuje w funkcji callback_get_text_from_url().

Wpływ biznesowy

Atakujący z dostępem na poziomie Subskrybenta mogą odczytać pliki zawierające wrażliwe dane, co może prowadzić do wycieku informacji i dalszych ataków na infrastrukturę. Organizacje korzystające z tej wtyczki powinny traktować tę lukę jako istotne zagrożenie dla bezpieczeństwa danych.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Task Manager i jej instalację. W przypadku braku łatki należy ograniczyć dostęp użytkowników do niezbędnego minimum, monitorować logi pod kątem podejrzanej aktywności oraz przeprowadzić przegląd uprawnień użytkowników. Priorytetowo traktuj wdrożenie zabezpieczeń minimalizujących ryzyko wykorzystania tej luki.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference