Wtyczka BuilderPress dla WordPress w wersji do 2.0.1 włącznie zawiera podatność PHP Local File Inclusion (LFI), wynikającą z nieprawidłowej kontroli nazw plików w instrukcjach include/require. Podatność uzyskała ocenę CVSS 9.8 (CRITICAL) i może być wykorzystana zdalnie bez uwierzytelnienia.
▸ Pokaż oryginał (EN)
Improper Control of Filename for Include/Require Statement in PHP Program ('PHP Remote File Inclusion') vulnerability in ThimPress BuilderPress builderpress allows PHP Local File Inclusion.This issue affects BuilderPress: from n/a through <= 2.0.1.
Błąd sklasyfikowany jako CWE-98 (Improper Control of Filename for Include/Require Statement in PHP Program) polega na tym, że wtyczka nie waliduje poprawnie danych wejściowych użytkownika przed przekazaniem ich do funkcji include lub require w PHP. Atakujący może dostarczyć spreparowaną ścieżkę do pliku, powodując dołączenie przez aplikację arbitralnego pliku znajdującego się na serwerze. W określonych warunkach może to prowadzić do wykonania złośliwego kodu PHP zawartego w takim pliku.
Atakujący może odczytywać poufne pliki z serwera (np. konfigurację bazy danych, dane uwierzytelniające) oraz — przy sprzyjających warunkach — wykonać arbitralny kod PHP, co zagraża pełnemu przejęciu kontroli nad serwerem.
Należy zaktualizować wtyczkę BuilderPress do wersji wyższej niż 2.0.1. Szczegóły dotyczące dostępnej wersji patcha należy zweryfikować w referencjach producenta oraz w bazie Patchstack pod adresem wskazanym w opisie CVE.
Wtyczka WordPress ThimPress BuilderPress w wersjach od n/a do 2.0.1 włącznie.
Podatność została zgłoszona i opisana przez Patchstack w ramach programu monitorowania bezpieczeństwa wtyczek WordPress. Wektor ataku sieciowy bez wymagań uwierzytelniania (AV:N/AC:L/PR:N/UI:N) znacząco zwiększa ryzyko masowej eksploatacji.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H