CVE-2024-4936
CriticalSummary
Wtyczka Canto dla WordPressa jest podatna na zdalne dołączanie plików we wszystkich wersjach do 3.0.8 włącznie, poprzez parametr abspath. Umożliwia to nieautoryzowanym atakującym dołączenie zdalnych plików na serwerze, co prowadzi do wykonania kodu.
Risk Assessment
Organizacja narażona jest na ryzyko zdalnego wykonania kodu przez nieautoryzowanych użytkowników, co może prowadzić do poważnych naruszeń bezpieczeństwa i utraty danych.
Recommendation
Zaleca się aktualizację wtyczki Canto do najnowszej wersji oraz wyłączenie opcji allow_url_include na serwerze, aby zminimalizować ryzyko wykorzystania tej podatności.
Original NVD description (English source)
The Canto plugin for WordPress is vulnerable to Remote File Inclusion in all versions up to, and including, 3.0.8 via the abspath parameter. This makes it possible for unauthenticated attackers to include remote files on the server, resulting in code execution. This required allow_url_include to be enabled on the target site in order to exploit.