Krytyczna luka wtyczki BookingPress Pro dla WordPress umożliwiająca przesyłanie dowolnych plików

Co wiadomo

Wtyczka BookingPress Pro dla WordPress do wersji 5.6 włącznie posiada lukę umożliwiającą nieautoryzowanym atakującym przesyłanie dowolnych plików na serwer poprzez brak walidacji typu pliku w funkcji obsługującej formularz rezerwacji. Luka może prowadzić do zdalnego wykonania kodu, jeśli w formularzu dodane jest pole niestandardowe 'signature'.

Wpływ biznesowy

Atakujący mogą wykorzystać tę lukę do przesłania złośliwych plików na serwer, co może skutkować przejęciem kontroli nad witryną lub serwerem. Dla operatorów IT i właścicieli infrastruktury oznacza to poważne ryzyko naruszenia bezpieczeństwa i potencjalne przestoje w działaniu usług. Niezbędne jest szybkie podjęcie działań w celu ograniczenia ekspozycji i monitorowania systemów.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki BookingPress Pro i ich wdrożenie. W przypadku braku łatki należy ograniczyć dostęp do formularza rezerwacji, usunąć pole 'signature' z formularza oraz monitorować logi serwera pod kątem podejrzanej aktywności. Priorytetowo należy przeprowadzić audyt bezpieczeństwa i wprowadzić dodatkowe mechanizmy walidacji przesyłanych plików.

Źródła

• NVD
• Reference
• Reference