Уразливість Local File Inclusion у плагіні Administrative Shortcodes для WordPress

Що відомо

Плагін Administrative Shortcodes для WordPress має уразливість Local File Inclusion (LFI) у версіях до 0.3.4 включно через недостатню перевірку шляху у атрибуті 'slug' шорткоду 'get_template'. Атакувальники з рівнем доступу Contributor і вище можуть виконувати довільний PHP-код на сервері.

Бізнес-вплив

Ця уразливість дозволяє зловмисникам обходити механізми контролю доступу, отримувати конфіденційні дані та виконувати довільний код на сервері, що може призвести до компрометації веб-сайту та інфраструктури. Власники сайтів на WordPress повинні врахувати високий рівень ризику та можливі наслідки для безпеки.

Рекомендовані дії адміністратора

Рекомендується оновити плагін Administrative Shortcodes до останньої версії, якщо доступна, або тимчасово відключити його. Перевірте журнали доступу на наявність підозрілої активності та обмежте права користувачів до мінімально необхідних. Також варто переглянути політики завантаження файлів і впровадити додаткові механізми валідації введених даних.

Джерела

• NVD
• Reference
• Reference
• Reference
• Reference