CVE-2024-58348
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 54 - wyżej niż 54% wszystkich znanych CVE
Streszczenie
Wtyczka WordPress Background Image Cropper w wersji 1.2 zawiera podatność na zdalne wykonanie kodu, umożliwiającą nieuwierzytelnionym atakującym przesyłanie dowolnych plików przez endpoint ups.php. Atakujący mogą przesłać pliki PHP i wykonać kod na serwerze.
Ocena ryzyka
Atakujący może uzyskać pełną kontrolę nad serwerem WordPress, przesyłając złośliwe pliki i wykonując dowolny kod.
Rekomendacja
Zaleca się natychmiastowe usunięcie lub dezaktywację wtyczki Background Image Cropper oraz przeskanowanie serwera w poszukiwaniu złośliwych plików.
Oryginalny opis (angielski, źródło NVD)
WordPress Background Image Cropper version 1.2 contains a remote code execution vulnerability that allows unauthenticated attackers to upload arbitrary files by accessing the ups.php endpoint. Attackers can upload PHP files through the file upload form in the plugin directory to execute arbitrary code on the server.