Luka wtyczki piclect WordPress umożliwia zdalne wykonanie kodu

Co wiadomo

Wtyczka piclect do WordPressa w wersji do 1.0 nie weryfikuje nazw ani typów przesyłanych plików podczas uploadu obrazów, co pozwala nieautoryzowanym atakującym na przesłanie dowolnych plików i wykonanie kodu na serwerze.

Wpływ biznesowy

Ta luka stwarza poważne ryzyko dla właścicieli stron opartych na WordPressie z zainstalowaną wtyczką piclect, ponieważ umożliwia atakującym przejęcie kontroli nad serwerem. Może to prowadzić do utraty danych, deface'u strony lub wykorzystania zasobów serwera do dalszych ataków.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki piclect u jej dostawcy oraz natychmiastowe wdrożenie poprawek. W międzyczasie warto ograniczyć dostęp do katalogów uploadu, monitorować logi serwera pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie funkcji uploadu obrazów. DataHouse wspiera weryfikację wersji oprogramowania i pomaga w zarządzaniu aktualizacjami oraz monitoringu bezpieczeństwa.

Źródła

• NVD
• Reference