Plataforma
wordpress
Componente
wp-cafe
Corregido en
2.2.29
La vulnerabilidad CVE-2024-43135 es una falla de Path Traversal descubierta en el plugin WPCafe para WordPress. Esta falla permite la inclusión de archivos locales PHP, lo que podría permitir a un atacante acceder a información confidencial del servidor. Afecta a las versiones del plugin WPCafe anteriores o iguales a 2.2.28. Una actualización a la versión 2.2.29 resuelve esta vulnerabilidad.
Un atacante que explote esta vulnerabilidad puede incluir archivos arbitrarios en el servidor web, lo que podría resultar en la divulgación de información sensible, como contraseñas, claves de API o código fuente. La inclusión de archivos locales PHP permite a un atacante ejecutar código malicioso en el servidor, comprometiendo potencialmente todo el sitio web WordPress. El impacto potencial es significativo, especialmente en entornos de producción donde se almacenan datos confidenciales. Esta vulnerabilidad es similar a otras fallas de Path Traversal que han permitido el acceso no autorizado a sistemas.
La vulnerabilidad fue publicada el 13 de agosto de 2024. Actualmente no se dispone de información sobre campañas de explotación activas, pero la naturaleza de la vulnerabilidad (Path Traversal) la convierte en un objetivo atractivo para los atacantes. Se recomienda monitorear los registros del servidor en busca de actividad sospechosa. La vulnerabilidad no ha sido agregada al KEV de CISA al momento de esta redacción.
WordPress websites utilizing the WPCafe plugin, particularly those running versions prior to 2.2.29, are at risk. Shared hosting environments where users have limited control over plugin updates and server configurations are especially vulnerable. Sites with weak file permissions or inadequate security hardening are also at increased risk.
• wordpress / composer / npm:
grep -r "../" /var/www/html/wp-content/plugins/wpcafe/• wordpress / composer / npm:
wp plugin list --status=inactive | grep wpcafe• wordpress / composer / npm:
curl -I http://your-wordpress-site.com/wp-content/plugins/wpcafe/wp-cafe.php?page=../../../../etc/passwd | head -n 1disclosure
Estado del Exploit
EPSS
1.66% (82% percentil)
CISA SSVC
Vector CVSS
La mitigación principal para CVE-2024-43135 es actualizar el plugin WPCafe a la versión 2.2.29 o superior. Si la actualización causa problemas de compatibilidad, considere realizar una copia de seguridad completa del sitio web antes de aplicar la actualización. Como medida temporal, se puede implementar un firewall de aplicaciones web (WAF) para bloquear solicitudes que intenten acceder a archivos fuera del directorio raíz del sitio web. Además, revise los permisos de los archivos y directorios del servidor para asegurarse de que solo los usuarios autorizados tengan acceso a ellos. Después de la actualización, verifique la integridad del plugin y la configuración del sitio web para confirmar que la vulnerabilidad ha sido resuelta.
Actualiza el plugin WPCafe a la última versión disponible. Si no hay una versión más reciente, considera deshabilitar o eliminar el plugin hasta que se publique una actualización que corrija la vulnerabilidad. Revisa las notas de la versión para confirmar que la vulnerabilidad ha sido solucionada.
Análisis de vulnerabilidades y alertas críticas directamente en tu correo.
CVE-2024-43135 is a Path Traversal vulnerability affecting the WPCafe WordPress plugin, allowing attackers to potentially include arbitrary files on the server.
You are affected if you are using WPCafe version 2.2.28 or earlier. Upgrade to version 2.2.29 to resolve the issue.
Upgrade the WPCafe plugin to version 2.2.29 or later. Consider temporary workarounds like WAF rules and file permission restrictions if immediate upgrade is not possible.
As of August 2024, there are no confirmed reports of active exploitation, but the vulnerability's nature suggests potential for future exploitation.
Refer to the official WPCafe plugin website or WordPress plugin repository for the latest advisory and update information.
Sube tu archivo de dependencias y detecta esta y otras CVEs al instante.
Sube tu archivo de dependencias y detecta esta y otras CVEs al instante.