Krytyczna luka wtyczki Piotnet Forms dla WordPress umożliwiająca zdalne przesyłanie plików

Co wiadomo

Wtyczka Piotnet Forms do WordPressa do wersji 2.1.40 posiada lukę umożliwiającą nieautoryzowanym atakującym przesyłanie dowolnych plików na serwer poprzez brak odpowiedniej walidacji typów plików. Luka wynika z niepełnej czarnej listy rozszerzeń, która nie blokuje niebezpiecznych formatów takich jak .phar czy .phtml, co może prowadzić do zdalnego wykonania kodu.

Wpływ biznesowy

Atakujący mogą wykorzystać tę lukę do przesłania złośliwych plików na serwer, co stwarza ryzyko przejęcia kontroli nad infrastrukturą hostingową strony. Może to skutkować poważnymi konsekwencjami dla bezpieczeństwa danych i ciągłości działania serwisu internetowego. Właściciele stron korzystających z tej wtyczki powinni traktować tę lukę jako krytyczną i pilnie podjąć działania zaradcze.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie wersji wtyczki Piotnet Forms i aktualizację do najnowszej dostępnej wersji po jej wydaniu. Do czasu aktualizacji warto ograniczyć możliwość przesyłania plików w formularzach oraz monitorować logi serwera pod kątem podejrzanych aktywności. Warto również przeprowadzić audyt konfiguracji formularzy, aby usunąć pola umożliwiające przesyłanie plików, jeśli nie są niezbędne.

Źródła

• NVD
• Reference
• Reference