CVE-2023-33930

Nieograniczony upload plików w wtyczce Unlimited Elements For Elementor

CVSS 9.1v3.1pub. 2024-06-04upd. 2025-02-05

Wtyczka Unlimited Elements For Elementor do WordPress w wersjach do 1.5.66 włącznie pozwala na przesyłanie plików niebezpiecznych typów bez odpowiedniej weryfikacji. Podatność umożliwia zdalne wykonanie kodu (RCE) na serwerze poprzez wstrzyknięcie złośliwego kodu (code injection).

▸ Pokaż oryginał (EN)

Unrestricted Upload of File with Dangerous Type vulnerability in Unlimited Elements Unlimited Elements For Elementor (Free Widgets, Addons, Templates) allows Code Injection.This issue affects Unlimited Elements For Elementor (Free Widgets, Addons, Templates): from n/a through 1.5.66.

🤖 Analiza AI

Jak działa

Podatność sklasyfikowana jako CWE-434 polega na braku wystarczającej walidacji typów przesyłanych plików. Atakujący z uprawnieniami administratora może przesłać plik zawierający złośliwy kod (np. webshell) w formacie, który serwer następnie wykonuje. Według referencji mechanizm dotyczy nieograniczonej ekstrakcji archiwów ZIP, co pozwala na umieszczenie i uruchomienie dowolnych plików po stronie serwera. Podatność ma zasięg wykraczający poza komponent (Scope: Changed), co oznacza potencjalne przejęcie zasobów poza samą wtyczką.

Skutki

Atakujący może uzyskać możliwość wykonania dowolnego kodu na serwerze (RCE), co prowadzi do pełnego przejęcia kontroli nad systemem — naruszenia poufności, integralności oraz dostępności danych i usługi.

Mitygacja

Należy zaktualizować wtyczkę Unlimited Elements For Elementor do wersji wyższej niż 1.5.66. Szczegóły dotyczące wersji zawierającej poprawkę dostępne są w referencjach producenta (Patchstack). Dodatkowo zaleca się ograniczenie uprawnień administracyjnych do zaufanych użytkowników oraz monitorowanie przesyłanych plików na serwerze.

Kogo dotyczy

Wtyczka Unlimited Elements For Elementor (Free Widgets, Addons, Templates) w wersjach od początku do 1.5.66 włącznie, działająca na platformie WordPress.