Luka wtyczki JetFormBuilder dla WordPress umożliwia odczyt dowolnych plików

Co wiadomo

Wtyczka JetFormBuilder dla WordPress w wersjach do 3.5.6.2 włącznie posiada lukę umożliwiającą nieautoryzowany odczyt plików poprzez atak typu path traversal. Atakujący może wykradać lokalne pliki jako załączniki do wiadomości e-mail, wykorzystując nieprawidłową walidację ścieżek plików w polu Media Field.

Wpływ biznesowy

Luka ta pozwala na wyciek poufnych danych z serwera, co może prowadzić do naruszenia prywatności i bezpieczeństwa informacji. Atakujący nie musi być uwierzytelniony, co zwiększa ryzyko eksploatacji. Właściciele stron opartych na WordPress z tą wtyczką powinni traktować tę lukę jako poważne zagrożenie dla integralności i poufności danych.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki JetFormBuilder u jej dostawcy oraz ich wdrożenie. W międzyczasie warto ograniczyć ekspozycję formularzy wykorzystujących Media Field i akcję wysyłania e-maili z załącznikami. Należy również monitorować logi serwera pod kątem podejrzanych żądań i przygotować plan szybkiego reagowania na incydenty.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference