CVE-2023-4634
CriticalSummary
Wtyczka Media Library Assistant dla WordPressa jest podatna na lokalne włączenie plików oraz zdalne wykonanie kodu w wersjach do 3.09 włącznie. Problem wynika z niewystarczających zabezpieczeń dotyczących ścieżek plików przekazywanych do parametru 'mla_stream_file'.
Risk Assessment
Atakujący bez uwierzytelnienia mogą wykorzystać tę podatność do włączenia lokalnych plików oraz zdalnego wykonania kodu, co stwarza poważne zagrożenie dla bezpieczeństwa systemu.
Recommendation
Zaleca się aktualizację wtyczki Media Library Assistant do najnowszej wersji, aby usunąć tę podatność oraz wprowadzenie dodatkowych zabezpieczeń w celu ograniczenia dostępu do krytycznych plików.
Original NVD description (English source)
The Media Library Assistant plugin for WordPress is vulnerable to Local File Inclusion and Remote Code Execution in versions up to, and including, 3.09. This is due to insufficient controls on file paths being supplied to the 'mla_stream_file' parameter from the ~/includes/mla-stream-image.php file, where images are processed via Imagick(). This makes it possible for unauthenticated attackers to supply files via FTP that will make directory lists, local file inclusion, and remote code execution possible.