Luka wtyczki Workeera WordPress umożliwia usuwanie plików przez subskrybentów

Co wiadomo

Wtyczka Workeera dla WordPressa w wersjach przed 1.0.6 nie ogranicza wartości zapisywanych w profilu kandydata użytkownika oraz nie weryfikuje ścieżki pliku przed jego usunięciem. To pozwala użytkownikom z rolą subskrybenta na usuwanie dowolnych plików na serwerze.

Wpływ biznesowy

Ta luka może prowadzić do nieautoryzowanego usuwania plików na serwerze, co zagraża integralności danych i stabilności działania strony opartej na WordPressie. Atakujący z niskimi uprawnieniami mogą wykorzystać tę podatność do usunięcia ważnych plików, powodując potencjalne przerwy w działaniu usług lub utratę danych.

Rekomendowane działania administratora

Zaleca się jak najszybszą aktualizację wtyczki Workeera do wersji 1.0.6 lub nowszej, w której problem został załatany. W międzyczasie warto ograniczyć dostęp użytkowników do ról o minimalnych uprawnieniach oraz monitorować logi serwera pod kątem podejrzanych działań związanych z usuwaniem plików. Warto również przeprowadzić przegląd i kopię zapasową danych. DataHouse wspiera weryfikację wersji oprogramowania oraz zarządzanie aktualizacjami w środowisku WordPress.

Źródła

• NVD
• Reference