Wysokie ryzyko: luka w WP Captcha PRO umożliwiająca zdalne wykonanie kodu

Co wiadomo

Wtyczka WP Captcha PRO dla WordPressa do wersji 5.38 włącznie posiada poważną lukę umożliwiającą uwierzytelnionym użytkownikom na poziomie subskrybenta i wyższym przesyłanie dowolnych plików, w tym webshelli PHP. Luka wynika z niewystarczającej walidacji plików podczas synchronizacji chmury, co może prowadzić do zdalnego wykonania kodu.

Wpływ biznesowy

Atakujący z dostępem subskrybenta mogą wykorzystać tę lukę do przesłania i wykonania złośliwego kodu na serwerze, co zagraża integralności i dostępności witryny oraz może prowadzić do przejęcia kontroli nad infrastrukturą. Organizacje korzystające z tej wtyczki powinny traktować tę lukę jako krytyczną i priorytetowo podejść do jej załatania lub ograniczenia ekspozycji.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki WP Captcha PRO i ich wdrożenie. W przypadku braku łatki należy ograniczyć dostęp użytkowników do poziomu subskrybenta lub niższego oraz monitorować logi serwera pod kątem podejrzanych aktywności. Dodatkowo warto rozważyć wyłączenie opcji allow_url_fopen w konfiguracji PHP, jeśli nie jest niezbędna.

Źródła

• NVD
• Reference
• Reference