Luka wtyczki Web to Print Online Designer WordPress umożliwia zdalne wykonanie kodu

Co wiadomo

Wtyczka Web to Print Online Designer dla WordPressa w wersjach przed 2.15.0 nie weryfikuje typu ani rozszerzenia przesyłanych plików i udostępnia token ochronny każdemu użytkownikowi, co pozwala nieautoryzowanym atakującym na przesyłanie dowolnych plików, w tym PHP, oraz wykonanie kodu na serwerze.

Wpływ biznesowy

Ta luka umożliwia atakującym zdalne wykonanie kodu na serwerze, co może prowadzić do przejęcia kontroli nad stroną internetową, kradzieży danych lub dalszej eskalacji ataku w infrastrukturze IT. Właściciele serwisów korzystających z tej wtyczki powinni traktować tę podatność jako krytyczną i priorytetowo ją zaadresować, aby uniknąć poważnych konsekwencji biznesowych.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie wersji wtyczki Web to Print Online Designer i aktualizację do wersji 2.15.0 lub nowszej, jeśli jest dostępna. W przypadku braku możliwości natychmiastowej aktualizacji, ogranicz dostęp do funkcji przesyłania plików oraz monitoruj logi serwera pod kątem podejrzanej aktywności. Dodatkowo warto przeprowadzić przegląd uprawnień i zabezpieczeń serwera. Zespół DataHouse może pomóc w weryfikacji wersji oprogramowania, zarządzaniu aktualizacjami oraz monitoringu bezpieczeństwa.

Źródła

• NVD
• Reference