Krytyczna luka RCE w wtyczce The Events Calendar dla WordPress

Co wiadomo

Wtyczka The Events Calendar dla WordPress do wersji 6.17.3 włącznie zawiera krytyczną lukę umożliwiającą zdalne wykonanie kodu (RCE) poprzez funkcję parse_array. Luka wynika z niewystarczającej walidacji mapy klas widgetów, co pozwala na ominięcie kontroli bezpieczeństwa i wykonanie złośliwego kodu przez nieautoryzowanych atakujących.

Wpływ biznesowy

Atakujący mogą zdalnie wykonać dowolny kod na serwerze, co może prowadzić do przejęcia kontroli nad stroną, wycieku danych lub dalszej eskalacji ataku. Luka wymaga włączenia komentarzy na postach tribe_events oraz obecności specjalnie spreparowanego komentarza, co może ograniczać jej wykorzystanie, ale nadal stanowi poważne zagrożenie dla właścicieli stron korzystających z tej wtyczki.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki The Events Calendar i ich wdrożenie. W międzyczasie warto ograniczyć lub wyłączyć możliwość dodawania komentarzy na postach tribe_events oraz monitorować logi serwera pod kątem podejrzanej aktywności. Warto również zweryfikować konfigurację zabezpieczeń i ograniczyć ekspozycję sieciową. DataHouse wspiera weryfikację wersji oprogramowania oraz zarządzanie aktualizacjami w środowisku klienta.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference