Experti v oblasti kybernetické bezpečnosti odhalili kritickou, dosud neopravenou bezpečnostní chybu, která ovlivňuje plugin TI WooCommerce Wishlist pro WordPress. Tato zranitelnost by mohla být zneužita neautentizovanými útočníky k nahrání libovolných souborů.
TI WooCommerce Wishlist, který má více než 100 000 aktivních instalací, je nástroj umožňující zákazníkům e-shopů ukládat si oblíbené produkty na později a sdílet seznamy na sociálních sítích.
„Plugin je zranitelný vůči nahrávání libovolných souborů, což umožňuje útočníkům nahrát škodlivé soubory na server bez ověření,“ uvedl expert Patchstacku John Castro.
Zranitelnost je evidována jako CVE-2025-47577 a má skóre CVSS 10.0. Ovlivňuje všechny verze pluginu nižší nebo rovné 2.9.2 vydané 29. listopadu 2024. V současné době není k dispozici žádná oprava.
Bezpečnostní společnost uvedla, že problém spočívá ve funkci s názvem „tinvwl_upload_file_wc_fields_factory“, která využívá další nativní funkci WordPressu „wp_handle_upload“ k provedení validace, ale nastavuje parametry „test_form“ a „test_type“ na „false“.
Přepínač „test_type“ slouží ke kontrole, zda je typ souboru (MIME) očekávaný, zatímco „test_form“ ověřuje, zda je parametr $_POST[‚action‘] správný.
Nastavením „test_type“ na hodnotu false je možné obejít kontrolu typu souboru, což umožňuje nahrání jakéhokoliv typu souboru.
Zranitelná funkce je přístupná prostřednictvím tinvwl_meta_wc_fields_factory nebo tinvwl_cart_meta_wc_fields_factory, které jsou dostupné pouze tehdy, když je aktivní plugin WC Fields Factory. To znamená, že úspěšné zneužití je možné pouze v případě, že je na webu WordPress nainstalován a aktivován plugin WC Fields Factory a integrace je povolena v pluginu TI WooCommerce Wishlist.
V hypotetickém scénáři útoku by útočník mohl nahrát škodlivý PHP soubor a dosáhnout vzdáleného spuštění kódu (RCE) přímým přístupem k nahranému souboru.
Vývojářům pluginů se doporučuje odstranit nebo nenastavovat ‚test_type‘ => false při používání wp_handle_upload(). Vzhledem k absenci opravy jsou uživatelé pluginu vyzýváni, aby jej deaktivovali a odstranili ze svých webů.
Zdroj: The Hacker News
Zdroj: IT SECURITY NETWORK NEWS
Zdroj: ICT NETWORK NEWS
