Krytyczna luka wtyczki Ultra Addons for Contact Form 7 umożliwiająca przesyłanie dowolnych plików

Co wiadomo

Wtyczka Ultra Addons for Contact Form 7 dla WordPressa do wersji 3.5.50 zawiera krytyczną lukę umożliwiającą nieautoryzowanym atakującym przesyłanie dowolnych plików na serwer poprzez niewystarczającą walidację typów plików. Luka ta jest wykorzystywalna tylko, gdy włączony jest moduł PDF Generator, który domyślnie jest wyłączony.

Wpływ biznesowy

Atakujący mogą przesłać złośliwe pliki na serwer, co może prowadzić do zdalnego wykonania kodu i przejęcia kontroli nad serwisem. Organizacje korzystające z tej wtyczki muszą traktować tę lukę jako krytyczną, szczególnie jeśli moduł PDF Generator jest aktywowany. Narażenie na atak może skutkować poważnymi konsekwencjami dla dostępności i bezpieczeństwa danych.

Rekomendowane działania administratora

Zaleca się natychmiastową weryfikację, czy moduł PDF Generator jest aktywny, oraz aktualizację wtyczki do najnowszej wersji udostępnionej przez producenta. W przypadku braku dostępnej poprawki należy ograniczyć ekspozycję serwisu, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie modułu PDF Generator. Wsparcie DataHouse obejmuje weryfikację wersji wtyczek, zarządzanie aktualizacjami oraz analizę logów bezpieczeństwa.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference