Plataforma
wordpress
Componente
jet-theme-core
Corregido en
2.2.1
La vulnerabilidad CVE-2024-37497 es una falla de recorrido de directorio (path traversal) en el plugin JetThemeCore para WordPress. Esta falla permite a un atacante manipular archivos, accediendo potencialmente a información confidencial almacenada en el servidor. Afecta a versiones de JetThemeCore anteriores o iguales a 2.2.1. Se recomienda actualizar a la versión 2.2.1 para mitigar el riesgo.
Un atacante que explote esta vulnerabilidad podría leer archivos arbitrarios en el servidor web, incluyendo archivos de configuración, código fuente, o incluso archivos de bases de datos. Esto podría resultar en la exposición de credenciales, información personal, o la toma de control del sitio web. La manipulación de archivos también podría permitir la ejecución de código malicioso en el servidor, comprometiendo la integridad y confidencialidad de los datos. La gravedad de esta vulnerabilidad reside en su potencial para escalar privilegios y obtener acceso no autorizado a recursos críticos.
La vulnerabilidad fue publicada el 9 de julio de 2024. No se ha reportado explotación activa en campañas conocidas, pero la naturaleza de la vulnerabilidad de recorrido de directorio la hace susceptible a escaneos automatizados. No se ha añadido a KEV a la fecha. Se recomienda monitorear la situación y aplicar la actualización lo antes posible.
Websites using JetThemeCore versions prior to 2.2.1 are at risk. This includes sites using shared hosting environments where file permissions may be less restrictive, and those relying on older WordPress installations that haven't been regularly updated. Sites with sensitive data stored within the WordPress file system are particularly vulnerable.
• wordpress / composer / npm:
grep -r "../" /var/www/html/wp-content/plugins/jet-themecore/*• generic web:
curl -I 'https://your-wordpress-site.com/wp-content/plugins/jet-themecore/../../../../etc/passwd' # Check for file disclosuredisclosure
Estado del Exploit
EPSS
0.16% (37% percentil)
CISA SSVC
Vector CVSS
La mitigación principal para CVE-2024-37497 es actualizar JetThemeCore a la versión 2.2.1 o superior. Si la actualización causa problemas de compatibilidad, considere realizar una copia de seguridad completa del sitio web antes de proceder. Como medida temporal, se puede implementar una regla en un firewall de aplicaciones web (WAF) para bloquear solicitudes que contengan secuencias de caracteres de recorrido de directorio (por ejemplo, '../'). Verifique que los permisos de los archivos y directorios del sitio web estén configurados correctamente para limitar el acceso no autorizado.
Actualice el plugin JetThemeCore a la versión 2.2.1 o superior. Esta actualización corrige la vulnerabilidad de eliminación arbitraria de archivos. Puede actualizar a través del panel de administración de WordPress o descargando la última versión desde el sitio web del desarrollador.
Análisis de vulnerabilidades y alertas críticas directamente en tu correo.
CVE-2024-37497 is a vulnerability in JetThemeCore versions ≤2.2.1 that allows attackers to manipulate files on the server due to improper path validation, potentially leading to sensitive data exposure.
You are affected if you are using JetThemeCore version 2.2.1 or earlier. Check your plugin version and upgrade immediately if necessary.
Upgrade JetThemeCore to version 2.2.1 or later. If immediate upgrade is not possible, implement temporary workarounds like restricting file access permissions and WAF rules.
As of now, there are no confirmed reports of active exploitation, but it's crucial to apply the patch promptly to prevent potential attacks.
Refer to the Crocoblock website and JetThemeCore plugin documentation for the official advisory and detailed information regarding this vulnerability.
Sube tu archivo de dependencias y detecta esta y otras CVEs al instante.
Sube tu archivo de dependencias y detecta esta y otras CVEs al instante.