Luka wtyczki TinyPNG dla WordPress umożliwia usuwanie dowolnych plików

Co wiadomo

Wtyczka TinyPNG do WordPressa (wersje do 3.6.13 włącznie) ma poważną lukę pozwalającą na usuwanie dowolnych plików na serwerze przez użytkowników z uprawnieniami autora i wyższymi. Luka wynika z niewystarczającej walidacji ścieżek plików w funkcji usuwania obrazów, co może prowadzić do zdalnego wykonania kodu.

Wpływ biznesowy

Atakujący z dostępem na poziomie autora mogą usunąć kluczowe pliki serwera, takie jak wp-config.php, co może skutkować przejęciem kontroli nad serwerem i poważnymi konsekwencjami dla bezpieczeństwa i dostępności usług. Wdrożenie tej wtyczki bez aktualizacji naraża infrastrukturę na wysokie ryzyko ataków i utraty danych.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki TinyPNG i ich wdrożenie. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do minimum, monitorować logi pod kątem podejrzanych działań oraz rozważyć tymczasowe wyłączenie wtyczki. Priorytetowo należy przeprowadzić audyt bezpieczeństwa i weryfikację integralności plików serwera.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference