Luka wtyczki Masteriyo LMS dla WordPress umożliwia zdalne wykonanie kodu

Co wiadomo

Wtyczka Masteriyo LMS dla WordPress w wersjach przed 3.4.1 pozwala na deserializację danych użytkownika, co umożliwia atakującym z minimalnym kontem wstrzyknięcie dowolnych obiektów PHP i wykonanie kodu na serwerze. Słabsza wersja tej luki pozwala na zapis dowolnego pliku bez konieczności posiadania konta.

Wpływ biznesowy

Ta luka może prowadzić do przejęcia kontroli nad serwerem hostingowym WordPress, co zagraża integralności i dostępności usług oraz bezpieczeństwu danych. Atakujący mogą wykonywać złośliwy kod, co może skutkować utratą danych, defacementem strony lub dalszymi atakami wewnątrz sieci. Właściciele infrastruktury powinni traktować tę lukę jako wysokie ryzyko i podjąć działania minimalizujące ekspozycję.

Rekomendowane działania administratora

Zaleca się jak najszybszą aktualizację wtyczki Masteriyo LMS do wersji 3.4.1 lub nowszej, jeśli jest dostępna. W przypadku braku możliwości natychmiastowej aktualizacji, ogranicz dostęp do funkcji wtyczki oraz monitoruj logi pod kątem podejrzanej aktywności. Przeanalizuj konfigurację serwera pod kątem możliwości ograniczenia deserializacji danych użytkownika. Warto również zweryfikować wsparcie DataHouse w zakresie zarządzania aktualizacjami i monitoringu bezpieczeństwa.

Źródła

• NVD
• Reference