Wysokie ryzyko lokalnego włączenia plików w motywie WordPress AC Services HVAC

Co wiadomo

W motywie WordPress AC Services | HVAC, Air Conditioning & Heating Company wykryto lukę umożliwiającą lokalne włączenie plików PHP (Local File Inclusion). Problem dotyczy wersji do 1.2.5 i wynika z nieprawidłowej kontroli nazw plików w instrukcjach include/require.

Wpływ biznesowy

Luka ta może pozwolić atakującemu na wykonanie nieautoryzowanego kodu PHP poprzez włączenie lokalnych plików, co może prowadzić do przejęcia kontroli nad serwerem lub wycieku danych. Operatorzy stron korzystających z tego motywu powinni potraktować tę podatność jako wysokiego ryzyka i priorytetowo podjąć działania zabezpieczające.

Rekomendowane działania administratora

Zaleca się jak najszybsze zaktualizowanie motywu AC Services do najnowszej wersji udostępnionej przez producenta. W przypadku braku dostępnej poprawki należy ograniczyć dostęp do plików motywu, monitorować logi serwera pod kątem podejrzanych działań oraz rozważyć zastosowanie reguł zapory aplikacyjnej (WAF) blokujących próby lokalnego włączenia plików.

Źródła

• NVD
• Reference