CVE-2023-5199
KrytyczneStreszczenie
Wtyczka PHP to Page dla WordPressa jest podatna na lokalne włączenie pliku, co może prowadzić do zdalnego wykonania kodu w wersjach do 0.3 włącznie, poprzez shortcode 'php-to-page'. Umożliwia to uwierzytelnionym atakującym z uprawnieniami na poziomie subskrybenta lub wyżej, włączenie lokalnego pliku i potencjalne wykonanie kodu na serwerze.
Ocena ryzyka
Atakujący mogą wykorzystać tę podatność do zdalnego wykonania kodu, co stwarza poważne zagrożenie dla bezpieczeństwa serwera oraz danych organizacji. Użytkownicy z wyższymi uprawnieniami mogą łatwo przesyłać złośliwe pliki, co zwiększa ryzyko.
Rekomendacja
Zaleca się aktualizację wtyczki PHP to Page do najnowszej wersji, aby usunąć tę podatność. Dodatkowo, warto ograniczyć uprawnienia użytkowników oraz monitorować logi w celu wykrycia potencjalnych prób wykorzystania tej luki.
Oryginalny opis (angielski, źródło NVD)
The PHP to Page plugin for WordPress is vulnerable Local File Inclusion to Remote Code Execution in versions up to, and including, 0.3 via the 'php-to-page' shortcode. This allows authenticated attackers with subscriber-level permissions or above, to include local file and potentially execute code on the server. While subscribers may need to poison log files or otherwise get a file installed in order to achieve remote code execution, author and above users can upload files by default and achieve remote code execution easily.