Уразливість у Live2DWebCanvas для WordPress дозволяє видаляти файли

Що відомо

Плагін Live2DWebCanvas для WordPress має уразливість, що дозволяє автентифікованим користувачам з рівнем доступу Subscriber і вище видаляти довільні файли на сервері через недостатню перевірку шляхів у функції ClearFiles(). Це може призвести до віддаленого виконання коду при видаленні критичних файлів, наприклад wp-config.php.

Бізнес-вплив

Для власників веб-інфраструктури це означає високий ризик компрометації серверів через можливість видалення важливих файлів і подальшого віддаленого виконання коду. Зловмисники з обмеженим доступом можуть розширити свої права, що ставить під загрозу цілісність і доступність вебсайтів на базі WordPress із цим плагіном.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна Live2DWebCanvas від розробника та негайно застосувати їх. Якщо оновлення недоступні, слід обмежити доступ користувачів до рівня нижче Subscriber, переглянути журнали на предмет підозрілої активності, а також мінімізувати експозицію сервера в мережі. Важливо також регулярно перевіряти цілісність критичних файлів і планувати оновлення безпеки.

Джерела

• NVD
• Reference
• Reference
• Reference