CVE-2015-4455
KrytyczneStreszczenie
Wtyczka Aviary Image Editor Add-on dla Gravity Forms w wersji 3.0 beta dla WordPressa zawiera podatność na nieograniczone przesyłanie plików. Umożliwia to zdalnym atakującym wykonanie dowolnego kodu poprzez przesłanie pliku z rozszerzeniem wykonywalnym.
Ocena ryzyka
Atakujący mogą wykorzystać tę podatność do zdalnego uruchamiania kodu na serwerze, co może prowadzić do przejęcia kontroli nad systemem lub wycieku danych.
Rekomendacja
Zaleca się aktualizację wtyczki do najnowszej wersji oraz wdrożenie ścisłych zasad dotyczących przesyłania plików, aby ograniczyć możliwość przesyłania plików z niebezpiecznymi rozszerzeniami.
Oryginalny opis (angielski, źródło NVD)
Unrestricted file upload vulnerability in includes/upload.php in the Aviary Image Editor Add-on For Gravity Forms plugin 3.0 beta for WordPress allows remote attackers to execute arbitrary code by uploading a file with an executable extension, then accessing it via a direct request to the file in wp-content/uploads/gform_aviary.