Уразливість завантаження файлів у плагіні Gerador de Certificados – DevApps для WordPress

Що відомо

Плагін Gerador de Certificados – DevApps для WordPress має уразливість завантаження довільних файлів через відсутність перевірки типу файлу у функції moveUploadedFile() у версіях до 1.3.6 включно. Це дозволяє автентифікованим користувачам з правами адміністратора завантажувати шкідливі файли на сервер сайту.

Бізнес-вплив

Уразливість може призвести до виконання довільного коду на сервері, що ставить під загрозу безпеку вебсайту та даних. Власники інфраструктури повинні врахувати ризики компрометації системи та потенційних втрат через несанкціонований доступ або пошкодження даних.

Рекомендовані дії адміністратора

Рекомендується оновити плагін до останньої версії, якщо доступна, або звернутися до розробника для виправлення. Тимчасово обмежте доступ до плагіна лише довіреним адміністраторам, перевірте журнали на наявність підозрілої активності та зменшіть експозицію сервера в мережі. Впровадьте додаткові засоби контролю завантаження файлів.

Джерела

• NVD
• Reference
• Reference