یک آسیب‌پذیری امنیتی با شدت High در افزونه HUSKY – Products Filter for WooCommerce Professional برای سیستم مدیریت محتوای وردپرس (WordPress) شناسایی شده است که تمامی نسخه‌ها تا ورژن 1.4.4 را تحت تاثیر قرار می‌دهد.
جزئیات فنی آسیب‌پذیری
این نقص امنیتی از نوع Local File Inclusion (LFI) است و از طریق پارامتر shortcode قابل بهره‌برداری است. مهاجمان بدون نیاز به احراز هویت (Unauthenticated)، می‌توانند با سوءاستفاده از این پارامتر، فایل‌های PHP دلخواه را روی سرور فراخوانی و اجرا کنند.
پیامدهای امنیتی
- اجرای کد (Code Execution): در صورتی که مهاجم بتواند فایلی با پسوند .php را روی سرور آپلود کند، اجرای این فایل منجر به دستیابی به Remote Code Execution (RCE) خواهد شد.
- دسترسی به داده‌های حساس: این آسیب‌پذیری امکان دور زدن کنترل‌های دسترسی (Access Controls) و استخراج اطلاعات حساس از فایل‌های پیکربندی سرور را فراهم می‌کند.
- به‌جای‌گذاری فایل‌های مخرب: مهاجمان می‌توانند از این نقص برای اجرای اسکریپت‌های مخرب در محیط سرور استفاده کنند.
به مدیران وب‌سایت‌ها و تیم‌های SOC توصیه می‌شود در سریع‌ترین زمان ممکن این افزونه را به آخرین نسخه به‌روزرسانی کنند تا از حملات احتمالی جلوگیری شود.
