Analytical use of cookies
Вразливість віддаленого включення файлів у Backup Migration для WordPress (CVE-2023-6971)
Вразливість віддаленого включення файлів у Backup Migration для WordPress дозволяє виконання коду при увімкненій allow_url_include у PHP.
- CVSS
- 8.1 HIGH
- EPSS
- 92.97%
- Активно використовується
- немає в KEV
- Продукт
- backup migration
Що відомо
Плагін Backup Migration для WordPress версій 1.0.8–1.3.9 має вразливість віддаленого включення файлів через HTTP-заголовок 'content-dir'. Це дозволяє неавторизованим зловмисникам виконувати довільний код на сервері за умови ввімкненої опції allow_url_include у php.ini.
Бізнес-вплив
Вразливість може призвести до повного компрометації веб-сервера, що впливає на цілісність і доступність даних. Власники інфраструктури ризикують витоком інформації та порушенням роботи сервісів, особливо якщо використовується застаріла конфігурація PHP з увімкненою опцією allow_url_include.
Рекомендовані дії адміністратора
Рекомендується негайно перевірити наявність оновлень плагіна Backup Migration і встановити їх. Якщо оновлення недоступні, слід обмежити доступ до плагіна, вимкнути allow_url_include у php.ini, переглянути журнали безпеки на ознаки експлуатації та мінімізувати експозицію сервера в мережі.