Luka wtyczki Advanced Members for ACF umożliwia usuwanie plików na serwerze

Co wiadomo

Wtyczka Advanced Members for ACF dla WordPressa do wersji 1.2.5 zawiera lukę pozwalającą uwierzytelnionym użytkownikom z poziomem Subskrybenta i wyższym na usuwanie dowolnych plików na serwerze. Może to prowadzić do zdalnego wykonania kodu, np. przez usunięcie pliku wp-config.php. Luka została częściowo załatana w wersji 1.2.5.

Wpływ biznesowy

Atakujący z dostępem subskrybenta mogą usunąć krytyczne pliki serwera, co stwarza poważne ryzyko naruszenia integralności i dostępności systemu. Może to skutkować przejęciem kontroli nad serwerem lub przerwami w działaniu usług. Organizacje korzystające z tej wtyczki powinny pilnie zweryfikować wersję i zabezpieczyć środowisko.

Rekomendowane działania administratora

Zaleca się natychmiastową aktualizację wtyczki Advanced Members for ACF do najnowszej wersji dostępnej u dostawcy. W przypadku braku możliwości aktualizacji należy ograniczyć dostęp użytkowników do minimum oraz monitorować logi pod kątem podejrzanych działań. Warto również przeprowadzić audyt plików serwera i przygotować plan szybkiego reagowania na incydenty.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference