Πραγματοποιήθηκε νέα αναβάθμιση του Web Application Firewall (WAF) σε όλους τους servers, με στόχο την άμεση κάλυψη πρόσφατων ευπαθειών που σχετίζονται κυρίως με μη ασφαλή file upload μηχανισμούς σε WordPress plugins.
Οι συγκεκριμένες ευπάθειες αξιολογούνται ως υψηλού ρίσκου, καθώς μπορούν να οδηγήσουν σε upload κακόβουλων αρχείων και ενδεχόμενη εκτέλεση κώδικα στον server.
Ευπάθειες που αντιμετωπίστηκαν αυτή την εβδομάδα
Blubrry PowerPress – Arbitrary File Upload CVE-2025-13536
Το plugin επιτρέπει upload αρχείων λόγω ανεπαρκούς ελέγχου κατά τη διαδικασία επεξεργασίας post, επιτρέποντας σε χρήστες με αυξημένα δικαιώματα να ανεβάσουν επικίνδυνο περιεχόμενο.
Bit File Manager – Authenticated Arbitrary File Upload CVE-2024-7770
Η λειτουργία upload δεν εφαρμόζει επαρκή έλεγχο τύπου αρχείου, επιτρέποντας σε authenticated χρήστες με δικαιώματα upload να ανεβάσουν εκτελέσιμα αρχεία στον server.
WPvivid Backup & Migration – Arbitrary File Upload CVE-2026-1357
Η ευπάθεια επιτρέπει μη εξουσιοδοτημένο upload αρχείων λόγω σφαλμάτων στον χειρισμό αποκρυπτογράφησης και ανεπαρκούς ελέγχου διαδρομών κατά την εγγραφή αρχείων στο σύστημα.
Τι υλοποιήθηκε σε επίπεδο WAF
Με την αναβάθμιση:
- Ενσωματώθηκαν νέοι κανόνες ανίχνευσης upload exploitation patterns
- Ενισχύθηκε ο έλεγχος αρχείων σε αιτήματα POST
- Μπλοκάρονται γνωστά request signatures που σχετίζονται με τα συγκεκριμένα plugins
- Η προστασία εφαρμόστηκε άμεσα σε όλους τους servers χωρίς διακοπή υπηρεσιών
Το WAF λειτουργεί προληπτικά, μπλοκάροντας τέτοιες επιθέσεις πριν φτάσουν στην εφαρμογή.
Παρά την προστασία σε επίπεδο υποδομής, προτείνεται:
-
άμεση ενημέρωση των plugins στις τελευταίες εκδόσεις
-
περιορισμός δικαιωμάτων upload
-
έλεγχος logs για ύποπτες δραστηριότητες
-
αφαίρεση plugins που δεν χρησιμοποιούνται
Η συνεχής παρακολούθηση CVE και η εβδομαδιαία αναβάθμιση του WAF αποτελούν βασικό πυλώνα της πολιτικής ασφάλειας της υποδομής μας.