Luka RCE w wtyczce Master Addons for Elementor Premium dla WordPress

Co wiadomo

Wtyczka Master Addons for Elementor Premium do WordPressa jest podatna na zdalne wykonanie kodu (RCE) w wersjach do 2.1.3 włącznie, z powodu braku odpowiedniej weryfikacji uprawnień w funkcji render_preview. Atakujący z poziomem dostępu Subskrybenta lub wyższym mogą wykonać kod na serwerze.

Wpływ biznesowy

Podatność umożliwia atakującym z niskim poziomem uprawnień eskalację możliwości i wykonanie złośliwego kodu na serwerze, co może prowadzić do przejęcia kontroli nad infrastrukturą WordPress. Może to skutkować utratą danych, defacementem strony lub dalszymi atakami na sieć wewnętrzną.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Master Addons for Elementor Premium i ich instalację. W przypadku braku łatki należy ograniczyć dostęp do panelu administracyjnego tylko do zaufanych użytkowników, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie wtyczki. Priorytetowo traktuj ocenę ryzyka i wdrożenie środków zabezpieczających.

Źródła

• NVD
• Reference
• Reference
• Reference