Центр мониторинга и реагирования UserGate предупреждает о критической уязвимости удаленного выполнения кода (RCE) в плагине File Manager Advanced Shortcode для WordPress (CVE-2023-2068)

Дата публикации:

Общие сведения

CVE-2023-2068 – уязвимость, которая не позволяет должным образом предотвратить загрузку файлов с запрещенными MIME-типами при использовании шорткодов в плагине File Manager Advanced. Любой пользователь может использовать эту уязвимость и довести до удаленного выполнения произвольного кода (например, загрузка исполняемого PHP-файла), что приводит к доступу к операционной системе с теми же привилегиями, под которыми работают веб-сервисы Wordpress.

Рейтинг

В соответствии с CVSSv3.1 уязвимости присвоен рейтинг: 9.8

Уязвимые версии и продукты:

  • WordPress File Manager Advanced Shortcode up to version 2.3.2 (including);
  • WordPress File Manager Advanced version up to version 5.0.5 (including).

Рекомендации:

  1. Установить последнее обновление плагина File Manager Advanced (актуальная версия на момент написания 5.1), либо отключить на время работу данного плагина.
  2. Проверить актуальность подписки на модуль Security Updates.
  3. Добавить в блокирующее правило IDPS сигнатуру «WordPress File Manager Shortcode 2.3.2 Remote Code Execution Vulnerability».