Уразливість читання файлів у плагіні Auto Amazon Links для WordPress

Що відомо

Плагін Auto Amazon Links – Amazon Associates Affiliate для WordPress версій до 5.4.3 включно має уразливість, що дозволяє неавторизованим зловмисникам читати довільні файли на сервері через API-ендпоінт '/wp-json/wp/v2/aal_ajax_unit_loading'. Це може призвести до витоку конфіденційної інформації.

Бізнес-вплив

Ця уразливість створює ризик компрометації серверних даних, що може вплинути на конфіденційність і цілісність інформації. Власники інфраструктури та ІТ-оператори повинні враховувати можливість несанкціонованого доступу до чутливих файлів, що може призвести до подальших атак або витоку даних.

Рекомендовані дії адміністратора

Рекомендується негайно перевірити наявність оновлень плагіна від розробника та застосувати їх. Якщо оновлення недоступні, слід обмежити доступ до вразливого API-ендпоінту, переглянути журнали доступу на предмет підозрілої активності та пріоритезувати виправлення цієї уразливості у планах безпеки.

Джерела

• NVD
• Reference
• Reference
• Reference