Luka PHP Code Injection w wtyczce Easy PHP Settings dla WordPress (CVE-2026-3352)

Co wiadomo

Wtyczka Easy PHP Settings do WordPressa w wersjach do 1.0.4 włącznie jest podatna na wstrzyknięcie kodu PHP poprzez metodę update_wp_memory_constants(). Niewystarczająca walidacja ustawień wp_memory_limit i wp_max_memory_limit pozwala administratorom na wykonanie dowolnego kodu PHP poprzez modyfikację pliku wp-config.php.

Wpływ biznesowy

Atakujący z uprawnieniami administratora mogą wstrzyknąć i wykonać złośliwy kod PHP na serwerze, co może prowadzić do przejęcia kontroli nad stroną, wycieku danych lub dalszej eskalacji ataku. Ponieważ plik wp-config.php jest ładowany przy każdym żądaniu, zagrożenie jest poważne i wymaga szybkiej reakcji ze strony właścicieli infrastruktury.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Easy PHP Settings i ich wdrożenie. W przypadku braku łatki należy ograniczyć dostęp administratorów do wtyczki, przejrzeć logi pod kątem podejrzanych działań oraz rozważyć tymczasowe wyłączenie wtyczki. Dodatkowo warto monitorować plik wp-config.php pod kątem nieautoryzowanych zmian.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference