Luka wtyczki WP Customer Area umożliwia odczyt i usuwanie plików

Co wiadomo

Wtyczka WP Customer Area dla WordPressa do wersji 8.3.4 posiada poważną lukę umożliwiającą uwierzytelnionym użytkownikom z uprawnieniami przyznanymi przez administratora odczyt i usuwanie dowolnych plików na serwerze. Może to prowadzić do wycieku wrażliwych danych lub zdalnego wykonania kodu, jeśli zostanie usunięty kluczowy plik, np. wp-config.php.

Wpływ biznesowy

Atakujący z rolą przyznaną przez administratora mogą wykorzystać tę lukę do odczytu poufnych informacji lub usunięcia krytycznych plików serwera, co może skutkować poważnymi naruszeniami bezpieczeństwa i przerwami w działaniu serwisu. Zagrożenie to wymaga szybkiej reakcji, aby zapobiec potencjalnym atakom i utracie danych.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki WP Customer Area i ich wdrożenie. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników oraz monitorować logi serwera pod kątem podejrzanych działań. Dodatkowo warto rozważyć tymczasowe wyłączenie funkcji ajax_attach_file lub całej wtyczki do czasu usunięcia luki.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference