Luka w motywie Zella WordPress umożliwia zdalne wykonanie kodu

Co wiadomo

Motyw Zella WordPress w wersjach przed 2.6.3 nie sprawdza uprawnień ani nonce podczas przesyłania czcionek, co pozwala nieautoryzowanym użytkownikom na przesyłanie dowolnych plików, w tym PHP, i zdalne wykonanie kodu.

Wpływ biznesowy

Ta luka umożliwia atakującym przejęcie kontroli nad serwerem poprzez przesłanie i wykonanie złośliwego kodu PHP. Może to prowadzić do poważnych naruszeń bezpieczeństwa, utraty danych oraz zakłóceń w działaniu usług internetowych opartych na WordPress.

Rekomendowane działania administratora

Zaleca się niezwłoczne zaktualizowanie motywu Zella do wersji 2.6.3 lub nowszej, która zawiera poprawki zabezpieczeń. W przypadku braku możliwości aktualizacji, ogranicz dostęp do funkcji przesyłania plików oraz monitoruj logi serwera pod kątem podejrzanej aktywności. Warto również zweryfikować konfigurację uprawnień i rozważyć zastosowanie dodatkowych mechanizmów ochrony. DataHouse wspiera w monitorowaniu logów i zarządzaniu aktualizacjami w celu minimalizacji ryzyka.

Źródła

• NVD
• Reference