Analytical use of cookies
Уразливість віддаленого виконання коду в WP Ultimate CSV Importer
Виявлено уразливість віддаленого виконання коду в плагіні WP Ultimate CSV Importer для WordPress. Рекомендується оновлення та контроль доступу.
- CVSS
- 8.0 HIGH
- EPSS
- 66%
- Активно використовується
- немає в KEV
- Продукт
- wp ultimate csv importer
Що відомо
Плагін WP Ultimate CSV Importer для WordPress версій до 7.9.8 включно має уразливість віддаленого виконання коду через параметр '->cus2'. Авторизовані користувачі з правами автора або вище можуть створювати PHP-файли та виконувати код на сервері за умови, що адміністратор надав доступ у налаштуваннях плагіна.
Бізнес-вплив
Ця уразливість дозволяє потенційно шкідливим користувачам з правами автора або редактора виконувати довільний код на сервері, що може призвести до компрометації сайту та серверної інфраструктури. Хоча розробник обмежив імпорт файлів для авторів і редакторів, адміністратори все ще можуть створювати PHP-файли, тому ризик залишається високим для сайтів з неналежним контролем доступу.
Рекомендовані дії адміністратора
Рекомендується оновити плагін до останньої версії, де обмежено імпорт файлів для авторів і редакторів. Адміністраторам слід переглянути налаштування доступу плагіна, обмежити права користувачів і контролювати створення PHP-файлів. Також варто перевірити журнали на предмет підозрілої активності та розглянути тимчасове відключення плагіна, якщо оновлення неможливе.