Plataforma
wordpress
Componente
addons-for-elementor
Corregido en
8.3.8
La vulnerabilidad CVE-2024-2385 es una Inclusión de Archivos Locales (LFI) presente en el plugin Elementor Addons by Livemesh para WordPress. Esta falla permite a atacantes autenticados, con privilegios de colaborador o superiores, incluir y ejecutar archivos PHP arbitrarios en el servidor. La vulnerabilidad afecta a todas las versiones del plugin hasta la 8.3.7, y su explotación puede resultar en la ejecución de código malicioso y el acceso a información sensible.
Un atacante que explote esta vulnerabilidad puede lograr la ejecución remota de código en el servidor WordPress. Esto se logra aprovechando el atributo 'style' en varios widgets del plugin para incluir archivos arbitrarios. La capacidad de ejecutar código PHP permite al atacante tomar el control del sitio web, robar datos confidenciales (como credenciales de la base de datos o información de usuarios), instalar puertas traseras o realizar otras acciones maliciosas. La severidad de esta vulnerabilidad es alta debido a la facilidad de explotación y el potencial impacto en la confidencialidad, integridad y disponibilidad del sitio web.
La vulnerabilidad fue publicada el 4 de julio de 2024. Actualmente no se dispone de información sobre explotación activa en la naturaleza, pero la facilidad de explotación y la alta severidad sugieren que podría ser objeto de ataques. Se recomienda monitorear las fuentes de inteligencia de amenazas para detectar cualquier actividad maliciosa relacionada con esta vulnerabilidad. No se ha añadido a la lista KEV de CISA al momento de esta redacción.
WordPress websites using Elementor Addons by Livemesh, particularly those with multiple contributors or users with elevated privileges, are at significant risk. Shared hosting environments where multiple websites share the same server are also at increased risk, as a compromise of one site could potentially lead to the compromise of others. Legacy WordPress installations with outdated security practices are especially vulnerable.
• wordpress / composer / npm:
grep -r 'style=".*/wp-content/uploads/' /var/www/html/wp-content/plugins/elementor-addons-by-livemesh/• wordpress / composer / npm:
wp plugin list --status=inactive | grep elementor-addons-by-livemesh• wordpress / composer / npm:
curl -I http://your-wordpress-site.com/wp-content/plugins/elementor-addons-by-livemesh/style.php?style=/etc/passwddisclosure
Estado del Exploit
EPSS
0.24% (47% percentil)
CISA SSVC
Vector CVSS
La mitigación principal para CVE-2024-2385 es actualizar el plugin Elementor Addons by Livemesh a la última versión disponible. Si la actualización no es inmediatamente posible, se recomienda restringir el acceso a los archivos del plugin y monitorear los logs del servidor en busca de actividad sospechosa. Implementar reglas en un Web Application Firewall (WAF) para bloquear solicitudes que intenten incluir archivos fuera del directorio del plugin también puede ayudar a mitigar el riesgo. Además, revisar y endurecer los permisos de los archivos del plugin puede limitar el impacto de una posible explotación.
Actualice el plugin Elementor Addons by Livemesh a la última versión disponible. Esto solucionará la vulnerabilidad de inclusión de archivos locales.
Análisis de vulnerabilidades y alertas críticas directamente en tu correo.
CVE-2024-2385 is a Local File Inclusion vulnerability in Elementor Addons by Livemesh for WordPress, allowing authenticated users to execute arbitrary PHP code.
You are affected if you are using Elementor Addons by Livemesh version 8.3.7 or earlier. Check your plugin version immediately.
Upgrade Elementor Addons by Livemesh to a version higher than 8.3.7. If immediate upgrade isn't possible, restrict file uploads and user permissions.
While no active exploitation campaigns have been confirmed, the vulnerability's ease of exploitation makes it a high-priority risk. Monitor for updates.
Refer to the official Elementor Addons website and WordPress plugin repository for the latest advisory and update information.
Sube tu archivo de dependencias y detecta esta y otras CVEs al instante.
Sube tu archivo de dependencias y detecta esta y otras CVEs al instante.