Luka Path Traversal w wtyczce The Events Calendar dla WordPress

Co wiadomo

Wtyczka The Events Calendar dla WordPress do wersji 6.15.17 włącznie jest podatna na atak Path Traversal poprzez funkcję 'ajax_create_import'. Umożliwia to uwierzytelnionym użytkownikom z uprawnieniami co najmniej autora odczyt dowolnych plików na serwerze, w tym zawierających wrażliwe dane.

Wpływ biznesowy

Atakujący z uprawnieniami autora lub wyższymi mogą wykorzystać tę lukę do uzyskania dostępu do poufnych informacji przechowywanych na serwerze, co może prowadzić do naruszenia prywatności danych i dalszych ataków na infrastrukturę. Organizacje korzystające z tej wtyczki powinny traktować tę lukę jako poważne zagrożenie dla bezpieczeństwa swoich stron WordPress.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki The Events Calendar i ich wdrożenie. W przypadku braku łatki należy ograniczyć dostęp do funkcji importu tylko do zaufanych użytkowników oraz monitorować logi serwera pod kątem podejrzanej aktywności. Warto również przeprowadzić przegląd uprawnień użytkowników i ograniczyć je do niezbędnego minimum.

Źródła

• NVD
• Reference
• Reference
• Reference