Wysokie ryzyko LFI w motywie WordPress TopScorer Mikado-Themes

Co wiadomo

W motywie WordPress TopScorer Mikado-Themes wykryto podatność na lokalne włączenie plików (LFI) poprzez niewłaściwe kontrolowanie nazw plików w instrukcjach include/require w PHP. Luka dotyczy wersji do 1.2 włącznie i może umożliwić atakującemu dostęp do lokalnych plików serwera.

Wpływ biznesowy

Podatność LFI w popularnym motywie WordPress może prowadzić do ujawnienia wrażliwych danych lub eskalacji uprawnień, co stanowi poważne zagrożenie dla bezpieczeństwa stron internetowych i danych klientów. Operatorzy powinni traktować tę lukę priorytetowo, zwłaszcza jeśli korzystają z dotkniętej wersji motywu.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji motywu TopScorer u dostawcy Mikado-Themes i ich wdrożenie. W przypadku braku łatki należy ograniczyć ekspozycję serwisu, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie funkcji podatnych na LFI. Regularne przeglądy bezpieczeństwa i audyty kodu są również wskazane.

Źródła

• NVD
• Reference