Krytyczna luka wtyczki AI Website Builder WordPress umożliwia zdalne wykonanie kodu

Co wiadomo

Wtyczka AI Website Builder WordPress (wersja 1.0.0) nie weryfikuje uprawnień ani tokenów bezpieczeństwa na swoich trasach REST API, co pozwala nieautoryzowanym atakującym na instalację i aktywację wtyczek oraz motywów, importowanie treści, zapisywanie plików w katalogu upload oraz usuwanie zawartości strony. Na serwerach obsługujących PHP z katalogu upload może to prowadzić do zdalnego wykonania kodu.

Wpływ biznesowy

Luka o krytycznym poziomie CVSS 9.8 umożliwia atakującym przejęcie kontroli nad stroną WordPress poprzez instalację złośliwych wtyczek lub motywów oraz modyfikację zawartości witryny. Może to skutkować poważnymi zakłóceniami działania serwisu, utratą danych oraz naruszeniem bezpieczeństwa infrastruktury IT.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie wersji wtyczki AI Website Builder i aktualizację do najnowszej dostępnej wersji, jeśli została wydana poprawka. W przypadku braku aktualizacji należy ograniczyć dostęp do REST API oraz monitorować logi pod kątem podejrzanych aktywności. Warto również zweryfikować konfigurację serwera, aby katalog upload nie obsługiwał wykonywania kodu PHP. DataHouse może pomóc w weryfikacji wersji oprogramowania, zarządzaniu aktualizacjami oraz ograniczeniu ekspozycji sieciowej.

Źródła

• NVD
• Reference