Уразливість у Modern Events Calendar дозволяє завантаження довільних файлів

Що відомо

Плагін Modern Events Calendar для WordPress має уразливість, що дозволяє автентифікованим користувачам із правами підписника та вище завантажувати довільні файли через відсутність перевірки типу файлу у функції set_featured_image. Це може призвести до віддаленого виконання коду, особливо якщо адміністратор розширює права на подачу подій для неавтентифікованих користувачів.

Бізнес-вплив

Уразливість створює ризик компрометації серверів, де встановлено плагін Modern Events Calendar, що може призвести до несанкціонованого виконання коду та порушення цілісності вебсайту. Це особливо критично для організацій, які використовують цей плагін для управління подіями, оскільки зловмисники можуть отримати контроль над сайтом або викрасти дані.

Рекомендовані дії адміністратора

Рекомендується негайно перевірити наявність оновлень плагіна від виробника та застосувати їх. Якщо оновлення недоступні, слід обмежити права користувачів, особливо можливість подачі подій неавтентифікованими користувачами, провести аудит логів на предмет підозрілої активності та мінімізувати експозицію плагіна. Важливо також регулярно моніторити безпекові оновлення від розробника.

Джерела

• NVD
• Reference
• Reference