CVE-2023-4634

Krytyczne

Opublikowano: 06/09/2023(UTC)Przetłumaczono: 30/05/2026(UTC)NVD NIST

Streszczenie

Wtyczka Media Library Assistant dla WordPressa jest podatna na lokalne włączenie plików oraz zdalne wykonanie kodu w wersjach do 3.09 włącznie. Problem wynika z niewystarczających zabezpieczeń dotyczących ścieżek plików przekazywanych do parametru 'mla_stream_file'.

Ocena ryzyka

Atakujący bez uwierzytelnienia mogą wykorzystać tę podatność do włączenia lokalnych plików oraz zdalnego wykonania kodu, co stwarza poważne zagrożenie dla bezpieczeństwa systemu.

Rekomendacja

Zaleca się aktualizację wtyczki Media Library Assistant do najnowszej wersji, aby usunąć tę podatność oraz wprowadzenie dodatkowych zabezpieczeń w celu ograniczenia dostępu do krytycznych plików.

Oryginalny opis (angielski, źródło NVD)

The Media Library Assistant plugin for WordPress is vulnerable to Local File Inclusion and Remote Code Execution in versions up to, and including, 3.09. This is due to insufficient controls on file paths being supplied to the 'mla_stream_file' parameter from the ~/includes/mla-stream-image.php file, where images are processed via Imagick(). This makes it possible for unauthenticated attackers to supply files via FTP that will make directory lists, local file inclusion, and remote code execution possible.