Analityczne wykorzystywanie plików cookies
Krytyczna luka wtyczki User Registration Advanced Fields dla WordPress umożliwiająca przesyłanie dowolnych plików
Krytyczna luka w wtyczce User Registration Advanced Fields dla WordPress umożliwia przesyłanie dowolnych plików i potencjalne zdalne wykonanie kodu. Sprawdź zalecenia bezpieczeństwa.
- CVSS
- 9.8 CRITICAL
- EPSS
- 47.53%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- -
Co wiadomo
Wtyczka User Registration Advanced Fields dla WordPress do wersji 1.6.20 ma krytyczną lukę pozwalającą na przesyłanie dowolnych plików przez brak walidacji typu pliku w funkcji URAF_AJAX::method_upload. Luka ta umożliwia nieautoryzowanym atakującym przesłanie plików na serwer, co może prowadzić do zdalnego wykonania kodu, jeśli formularz zawiera pole "Profile Picture".
Wpływ biznesowy
Atakujący mogą wykorzystać tę lukę do przesłania złośliwych plików na serwer, co stwarza ryzyko przejęcia kontroli nad systemem lub wykonania nieautoryzowanego kodu. Właściciele stron WordPress korzystający z tej wtyczki powinni traktować tę lukę jako krytyczną, zwłaszcza jeśli używają pola "Profile Picture" w formularzach rejestracyjnych. Zaniedbanie aktualizacji lub zabezpieczeń może prowadzić do poważnych naruszeń bezpieczeństwa i utraty danych.
Rekomendowane działania administratora
Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki User Registration Advanced Fields i jej instalację, jeśli jest dostępna. W przypadku braku łatki należy rozważyć tymczasowe usunięcie lub dezaktywację pola "Profile Picture" w formularzach rejestracyjnych, ograniczenie dostępu do funkcji przesyłania plików oraz monitorowanie logów serwera pod kątem podejrzanej aktywności. Warto również przeprowadzić audyt bezpieczeństwa i ograniczyć ekspozycję serwera na zewnętrzne ataki.