CVE-2019-25138
KrytyczneStreszczenie
Wtyczka User Submitted Posts dla WordPressa jest podatna na nieautoryzowane przesyłanie plików z powodu braku walidacji typu pliku w funkcji usp_check_images w wersjach do 20190312 włącznie. Umożliwia to nieautoryzowanym atakującym przesyłanie dowolnych plików na serwerze dotkniętej witryny.
Ocena ryzyka
Atakujący mogą przesyłać złośliwe pliki, co może prowadzić do zdalnego wykonania kodu na serwerze, stwarzając poważne zagrożenie dla bezpieczeństwa organizacji.
Rekomendacja
Zaleca się aktualizację wtyczki do najnowszej wersji, aby usunąć tę podatność oraz wdrożenie dodatkowych mechanizmów zabezpieczających przed nieautoryzowanym przesyłaniem plików.
Oryginalny opis (angielski, źródło NVD)
The User Submitted Posts plugin for WordPress is vulnerable to arbitrary file uploads due to missing file type validation in the usp_check_images function in versions up to, and including, 20190312. This makes it possible for unauthenticated attackers to upload arbitrary files on the affected sites server which may make remote code execution possible.