Уразливість Local File Inclusion у плагіні RTMKit для WordPress

Що відомо

Плагін RTMKit (rometheme-for-elementor) для WordPress версій до 2.0.7 включно має уразливість Local File Inclusion через недостатню перевірку параметра 'template' в AJAX-ендпоінті render_templates. Це дозволяє автентифікованим користувачам з рівнем Contributor і вище виконувати довільний PHP-код на сервері.

Бізнес-вплив

Уразливість може призвести до виконання шкідливого коду на сервері, що ставить під загрозу цілісність і безпеку вебсайту. Для власників інфраструктури це означає потенційний ризик компрометації даних і порушення роботи сервісів. Важливо своєчасно виявляти та усувати такі вразливості, щоб знизити ризики кіберінцидентів.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна RTMKit і застосувати їх, якщо вони доступні. Якщо оновлення відсутні, слід обмежити доступ користувачів до рівня Contributor і вище, ретельно контролювати журнали доступу та активність, а також розглянути можливість тимчасового відключення плагіна. Загалом, слід регулярно переглядати безпекові оновлення від розробника та мінімізувати експозицію вразливих компонентів.

Джерела

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference