Уразливість видалення файлів у плагіні Import Export Suite для WordPress

Що відомо

Плагін Import Export Suite для WordPress має уразливість, що дозволяє автентифікованим користувачам з рівнем доступу Subscriber і вище видаляти довільні файли на сервері через недостатню перевірку шляхів у функції deleteImage(). Це може призвести до виконання довільного коду при видаленні критичних файлів, таких як wp-config.php.

Бізнес-вплив

Ця уразливість створює серйозну загрозу для безпеки веб-сайтів на WordPress, оскільки зловмисники можуть видаляти важливі файли, що потенційно відкриває шлях до віддаленого виконання коду. Власники інфраструктури ризикують компрометацією серверів і порушенням цілісності даних, що може призвести до простою сервісів і втрати довіри користувачів.

Рекомендовані дії адміністратора

Рекомендується негайно оновити плагін Import Export Suite до версії 7.20.1 або новішої, де уразливість виправлена. Якщо оновлення неможливе, слід обмежити доступ користувачів до рівня нижче Subscriber, ретельно перевірити журнали доступу на наявність підозрілої активності та мінімізувати експозицію сервера. Також варто регулярно переглядати політики безпеки та застосовувати найкращі практики захисту WordPress.

Джерела

• NVD
• Reference
• Reference
• Reference