Krytyczna luka wtyczki WPLP Cookie Consent umożliwiająca zdalne wykonanie kodu

Co wiadomo

Wtyczka WPLP Cookie Consent dla WordPressa ma krytyczną lukę umożliwiającą nieautoryzowanym atakującym przesyłanie dowolnych plików na serwer poprzez brak walidacji typu pliku i obejście autoryzacji w funkcji saas_upload_logo(). Może to prowadzić do zdalnego wykonania kodu na serwerze.

Wpływ biznesowy

Luka ta stanowi poważne zagrożenie dla właścicieli stron opartych na WordPress z zainstalowaną wtyczką WPLP Cookie Consent do wersji 4.4.1 włącznie. Atakujący mogą przejąć kontrolę nad serwerem, co może skutkować utratą danych, przerwami w działaniu usług oraz naruszeniem bezpieczeństwa użytkowników. Wdrożenie odpowiednich środków jest kluczowe dla ochrony infrastruktury IT.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki u dostawcy i ich wdrożenie. W międzyczasie ogranicz dostęp do REST API wtyczki oraz monitoruj logi serwera pod kątem podejrzanych aktywności związanych z przesyłaniem plików. Warto także przeprowadzić audyt bezpieczeństwa i zweryfikować kopie zapasowe. Zespół DataHouse może pomóc w weryfikacji wersji, zarządzaniu aktualizacjami oraz ograniczeniu ekspozycji sieciowej.

Źródła

• NVD
• Reference
• Reference