CVE-2017-16871
WysokieStreszczenie
Wtyczka UpdraftPlus w wersji do 1.13.12 dla WordPressa umożliwia zdalne wykonanie kodu PHP z powodu warunku wyścigu w funkcji plupload_action w pliku /wp-content/plugins/updraftplus/admin.php przed usunięciem pliku związanego z parametrem name.
Ocena ryzyka
Atakujący może wykorzystać tę podatność do zdalnego uruchomienia kodu, co może prowadzić do przejęcia kontroli nad stroną internetową. Mimo to, dostawca informuje, że nie narusza to granicy uprawnień.
Rekomendacja
Zaleca się aktualizację wtyczki UpdraftPlus do najnowszej wersji, aby usunąć tę podatność. Należy również monitorować logi serwera w celu wykrycia potencjalnych prób wykorzystania tej luki.
Inne podatności w UpdraftPlus plugin for WordPress
Oryginalny opis (angielski, źródło NVD)
The UpdraftPlus plugin through 1.13.12 for WordPress allows remote PHP code execution because the plupload_action function in /wp-content/plugins/updraftplus/admin.php has a race condition before deleting a file associated with the name parameter. NOTE: the vendor reports that this does not cross a privilege boundary
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS