Plataforma
wordpress
Componente
addon-elements-for-elementor-page-builder
Corregido en
1.12.13
La vulnerabilidad CVE-2024-1358 es un fallo de Directory Traversal descubierto en el plugin Elementor Addon Elements para WordPress. Esta falla permite a atacantes autenticados, con privilegios de colaborador o superiores, incluir el contenido de archivos PHP arbitrarios en el servidor. La vulnerabilidad afecta a todas las versiones del plugin hasta la 1.12.12 inclusive. Se recomienda actualizar el plugin a la última versión disponible o aplicar medidas de mitigación para reducir el riesgo.
Un atacante que explote esta vulnerabilidad podría leer archivos sensibles en el servidor web, como archivos de configuración, contraseñas o código fuente. Esto podría llevar a la exposición de información confidencial, la toma de control del sitio web o incluso el acceso al servidor subyacente. La capacidad de incluir archivos PHP arbitrarios permite una amplia gama de ataques, desde la exfiltración de datos hasta la ejecución remota de código, dependiendo de los archivos que el atacante pueda incluir y la configuración del servidor. Este tipo de vulnerabilidad es particularmente peligrosa en entornos de alojamiento compartido, donde un atacante podría potencialmente acceder a los archivos de otros sitios web alojados en el mismo servidor.
Esta vulnerabilidad fue publicada el 13 de marzo de 2024. No se ha reportado su inclusión en el KEV de CISA ni se han identificado campañas de explotación activas a la fecha. Aunque no se han publicado pruebas de concepto (PoCs) públicas, la naturaleza de la vulnerabilidad de Directory Traversal la hace susceptible a ser explotada, especialmente en sitios web con configuraciones inseguras.
WordPress sites using the Elementor Addon Elements plugin, particularly those with contributor-level users or higher, are at risk. Shared hosting environments where users have limited control over server file permissions are especially vulnerable. Sites with outdated plugin versions are also at increased risk.
• wordpress / composer / npm:
grep -r "render function" /var/www/html/wp-content/plugins/elementor-addon-elements/• generic web:
curl -I https://your-wordpress-site.com/wp-content/plugins/elementor-addon-elements/some_file.php | grep "PHP/" # Check for PHP file exposuredisclosure
Estado del Exploit
EPSS
2.61% (86% percentil)
Vector CVSS
La mitigación principal para CVE-2024-1358 es actualizar el plugin Elementor Addon Elements a la última versión disponible, que corrige la vulnerabilidad. Si la actualización no es inmediatamente posible, se recomienda restringir el acceso a los archivos del plugin y monitorear los logs del servidor en busca de actividad sospechosa. Además, se puede implementar una regla en un Web Application Firewall (WAF) para bloquear solicitudes que intenten acceder a archivos fuera del directorio del plugin. Es crucial revisar los permisos de los archivos del plugin para asegurar que solo el usuario web tenga acceso de lectura y escritura.
Actualice el plugin Elementor Addon Elements a la última versión disponible. La vulnerabilidad de recorrido de directorios permite la inclusión de archivos PHP arbitrarios, lo que podría exponer información sensible. La actualización corrige esta vulnerabilidad.
Análisis de vulnerabilidades y alertas críticas directamente en tu correo.
CVE-2024-1358 is a Directory Traversal vulnerability in the Elementor Addon Elements WordPress plugin, allowing authenticated attackers to include arbitrary PHP files.
You are affected if you are using Elementor Addon Elements version 1.12.12 or earlier. Check your plugin version and upgrade immediately.
Upgrade the Elementor Addon Elements plugin to the latest version, which contains a patch for this vulnerability. If immediate upgrade is not possible, restrict file access permissions.
While no widespread exploitation has been confirmed, the vulnerability's ease of exploitation makes it a likely target. Monitor your systems for suspicious activity.
Refer to the Elementor security advisory for detailed information and updates: [https://elementor.com/security/](https://elementor.com/security/)
Sube tu archivo de dependencias y detecta esta y otras CVEs al instante.
Sube tu archivo de dependencias y detecta esta y otras CVEs al instante.