Een kritiek beveiligingslek (CVE-2015-10136) is ontdekt in de GI-Media Library plugin voor WordPress, versies ouder dan 3.0. Deze kwetsbaarheid maakt het mogelijk voor niet-geauthenticeerde aanvallers om de inhoud van willekeurige bestanden op de server te lezen, wat gevoelige informatie kan bevatten.
Overzicht
De kwetsbaarheid in GI-Media Library komt door een Directory Traversal via de parameter fileid. Dit soort kwetsbaarheid, gecategoriseerd onder CWE-22, wordt veroorzaakt door een onjuiste beperking van een padnaam naar een beperkte directory.
Aanbevelingen
- Update de GI-Media Library plugin naar versie 3.0 of nieuwer om de kwetsbaarheid te verhelpen.
- Controleer of uw WordPress-instantie en alle plugins up-to-date zijn om toekomstige kwetsbaarheden te voorkomen.
Bronnen
- Wordfence Threat Intel
- WordPress Repository
- GitHub – wpsploit module
- WPScan Vulnerability Database
- WordPress Plugins
- WordPress Plugins Trac Changeset
- Rapid7 Modules Database
Vraag en Antwoord
Wat is CVE-2015-10136?
Dit is een kwetsbaarheid in de GI-Media Library plugin voor WordPress die Directory Traversal toestaat, waardoor niet-geauthenticeerde aanvallers toegang krijgen tot gevoelige serverbestanden.
Welke systemen zijn kwetsbaar voor CVE-2015-10136?
Alle WordPress-systemen die de GI-Media Library plugin gebruiken in versies ouder dan 3.0 zijn kwetsbaar.
Bestaat er al een patch of beveiligingsupdate?
Ja, het wordt aanbevolen om de plugin bij te werken naar versie 3.0 of hoger om deze kwetsbaarheid te verhelpen.
Wat kan een aanvaller met deze kwetsbaarheid?
Een aanvaller kan bestanden lezen op de server die gevoelige informatie bevatten, zoals configuratiebestanden met ingebouwde wachtwoorden of toegangssleutels.
