Plataforma
wordpress
Componente
embedpress
Corregido en
4.0.10
Se ha identificado una vulnerabilidad de Path Traversal en el plugin EmbedPress para WordPress. Esta falla permite a un atacante incluir archivos PHP locales, lo que podría resultar en la ejecución remota de código. La vulnerabilidad afecta a las versiones de EmbedPress anteriores o iguales a 4.0.9. La versión 4.0.10 corrige esta vulnerabilidad.
La vulnerabilidad de Path Traversal en EmbedPress permite a un atacante, mediante la manipulación de la ruta de un archivo, acceder a archivos sensibles en el servidor. Esto podría incluir archivos de configuración, código fuente u otros datos confidenciales. En el peor de los casos, un atacante podría ejecutar código PHP arbitrario en el servidor, comprometiendo completamente el sitio web WordPress. La inclusión de archivos PHP locales es una técnica común utilizada para escalar privilegios y obtener control sobre un sistema.
Esta vulnerabilidad ha sido publicada públicamente el 19 de agosto de 2024. No se ha reportado explotación activa a la fecha, pero la naturaleza de la vulnerabilidad (Path Traversal) la hace susceptible a ser explotada. No se ha añadido a KEV (CISA Known Exploited Vulnerabilities) al momento de la redacción. Se recomienda monitorear las fuentes de inteligencia de amenazas para detectar cualquier actividad maliciosa relacionada.
Websites utilizing the EmbedPress plugin, particularly those running older versions (≤4.0.9), are at risk. Shared hosting environments where server file permissions are less restrictive are especially vulnerable, as are sites with misconfigured PHP environments that allow for arbitrary file inclusion.
• wordpress / composer / npm:
grep -r "../" /var/www/html/wp-content/plugins/embedpress/• wordpress / composer / npm:
wp plugin list --status=active | grep embedpress• wordpress / composer / npm:
wp plugin update embedpress --alldisclosure
Estado del Exploit
EPSS
1.18% (79% percentil)
CISA SSVC
Vector CVSS
La mitigación principal para esta vulnerabilidad es actualizar EmbedPress a la versión 4.0.10 o superior. Si la actualización no es inmediatamente posible, se recomienda implementar medidas de seguridad adicionales, como restringir el acceso al directorio de plugins y monitorear los archivos de registro en busca de actividad sospechosa. Además, se pueden configurar reglas en un firewall de aplicaciones web (WAF) para bloquear solicitudes que contengan caracteres de path traversal (por ejemplo, '..').
Actualiza el plugin EmbedPress a la última versión disponible. La vulnerabilidad de inclusión de archivos locales (LFI) se corrige en versiones posteriores a la 4.0.9. Para actualizar, ve al panel de administración de WordPress, luego a la sección de 'Plugins' y busca 'EmbedPress'. Haz clic en 'Actualizar' si hay una versión más reciente disponible.
Análisis de vulnerabilidades y alertas críticas directamente en tu correo.
CVE-2024-43328 is a Path Traversal vulnerability in the EmbedPress WordPress plugin allowing attackers to potentially include arbitrary files, leading to sensitive data exposure or code execution.
Yes, if you are using EmbedPress version 4.0.9 or earlier, you are vulnerable to this Path Traversal vulnerability.
Upgrade the EmbedPress plugin to version 4.0.10 or later to resolve the vulnerability. Consider temporary workarounds like WAF rules if immediate upgrade is not possible.
There is currently no confirmed evidence of active exploitation, but the vulnerability's nature makes it a potential target.
Refer to the EmbedPress website and WordPress plugin repository for the official advisory and update information.
Sube tu archivo de dependencias y detecta esta y otras CVEs al instante.
Sube tu archivo de dependencias y detecta esta y otras CVEs al instante.