Критична вразливість RCE у плагіні WPFunnels для WooCommerce

Що відомо

Плагін WPFunnels для WooCommerce містить критичну вразливість віддаленого виконання коду (RCE) через параметр 'postData' у версіях до 3.12.7 включно. Уразливість виникає через недостатню санітизацію даних, що дозволяє неавторизованим зловмисникам виконувати код на сервері за умови ввімкнення логування та перегляду зараженого лог-файлу адміністратором.

Бізнес-вплив

Ця вразливість дозволяє віддаленим зловмисникам виконувати довільний код на сервері, що може призвести до компрометації веб-сервера, викрадення даних або порушення роботи сервісу. Власники інфраструктури повинні розглянути ризики, пов’язані з використанням уразливого плагіна, особливо якщо активовано логування та доступ до інтерфейсу перегляду логів.

Рекомендовані дії адміністратора

Рекомендується негайно перевірити наявність оновлень плагіна від виробника та встановити їх. Якщо оновлення недоступні, слід тимчасово вимкнути логування у плагіні та обмежити доступ до інтерфейсу перегляду логів. Також варто провести аудит логів на предмет підозрілої активності та посилити моніторинг безпеки веб-сервера.

Джерела

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference