CVE-2026-77006: Luki w wtyczce WebTotem Backups dla WordPress umożliwiające usuwanie plików

Co wiadomo

Wtyczka WebTotem Backups do WordPressa w wersjach do 1.0.1 nie weryfikuje ścieżek plików podawanych przez użytkownika, nie sprawdza uprawnień użytkownika oraz ignoruje wyniki własnej kontroli CSRF. To pozwala każdemu uwierzytelnionemu użytkownikowi, nawet subskrybentowi, na usuwanie dowolnych plików na serwerze, co może prowadzić do przejęcia kontroli nad stroną.

Wpływ biznesowy

Luka ta stanowi poważne zagrożenie dla właścicieli stron opartych na WordPress, ponieważ umożliwia nadużycie uprawnień przez niskopoziomowych użytkowników. Usunięcie kluczowych plików może skutkować przerwami w działaniu serwisu, utratą danych lub całkowitym przejęciem witryny przez atakującego. W efekcie może to prowadzić do utraty zaufania klientów oraz kosztów związanych z przywracaniem systemu.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki WebTotem Backups i ich wdrożenie. W przypadku braku łatki należy ograniczyć dostęp użytkowników do wtyczki oraz monitorować logi serwera pod kątem podejrzanych działań. Warto również przeprowadzić audyt uprawnień użytkowników i rozważyć tymczasowe wyłączenie wtyczki. DataHouse może pomóc w weryfikacji wersji oprogramowania, zarządzaniu aktualizacjami oraz monitoringu bezpieczeństwa infrastruktury.

Źródła

• NVD
• Reference