Plataforma
wordpress
Componente
startklar-elmentor-forms-extwidgets
Corregido en
1.7.14
La vulnerabilidad CVE-2024-4346 afecta al plugin Startklar Elementor Addons para WordPress, permitiendo un acceso arbitrario a archivos. Esta falla se debe a una validación incorrecta de la ruta de los archivos subidos antes de su eliminación, lo que permite a atacantes no autenticados borrar archivos críticos. Las versiones afectadas son las inferiores o iguales a 1.7.13. Se recomienda actualizar a la última versión disponible para mitigar el riesgo.
Un atacante puede explotar esta vulnerabilidad para borrar archivos arbitrarios en el servidor WordPress, incluyendo el archivo wp-config.php. La eliminación de este archivo compromete la configuración del sitio, permitiendo al atacante acceder a información sensible como credenciales de la base de datos. Esto puede resultar en la toma de control completa del sitio web, la inyección de código malicioso y el robo de datos confidenciales. La falta de autenticación necesaria para explotar la vulnerabilidad amplía significativamente el riesgo, ya que cualquier persona puede intentar la explotación. La gravedad de esta vulnerabilidad es comparable a otras que permiten la manipulación directa de la configuración del sitio, como la modificación de archivos de configuración para inyectar código malicioso.
CVE-2024-4346 fue publicado el 7 de mayo de 2024. Actualmente, no se ha reportado explotación activa en la naturaleza, pero la falta de autenticación necesaria para la explotación sugiere una alta probabilidad de que sea explotada. La vulnerabilidad se considera de alta prioridad debido a su gravedad y la facilidad con la que puede ser explotada. Se recomienda monitorear los sistemas afectados para detectar cualquier actividad sospechosa.
WordPress sites using the Startklar Elementor Addons plugin, particularly those running versions 1.7.13 or earlier, are at risk. Shared hosting environments are especially vulnerable as they often have limited control over file permissions and server configurations. Sites with weak security practices or outdated WordPress installations are also at increased risk.
• wordpress / composer / npm:
grep -r "wp-config.php" /var/www/html/wp-content/plugins/startklar-elementor-addons/• wordpress / composer / npm:
wp plugin list --status=active | grep startklar-elementor-addons• wordpress / composer / npm:
curl -I https://your-wordpress-site.com/wp-content/plugins/startklar-elementor-addons/ | grep -i 'startklar elementor addons'disclosure
Estado del Exploit
EPSS
22.23% (96% percentil)
CISA SSVC
Vector CVSS
La mitigación principal para CVE-2024-4346 es actualizar el plugin Startklar Elementor Addons a la última versión disponible. Si la actualización causa problemas de compatibilidad, considere realizar una copia de seguridad completa del sitio antes de actualizar. Como medida temporal, se puede implementar una regla en un firewall de aplicaciones web (WAF) para bloquear solicitudes que intenten acceder o manipular archivos sensibles. Además, revise los permisos de los archivos y directorios del sitio para asegurar que solo los usuarios autorizados tengan acceso de escritura. Verifique la integridad del sitio web después de la actualización, confirmando que los archivos críticos no han sido modificados.
Actualice el plugin Startklar Elementor Addons a una versión posterior a la 1.7.13. Esto solucionará la vulnerabilidad de eliminación arbitraria de archivos. La actualización se puede realizar desde el panel de administración de WordPress.
Análisis de vulnerabilidades y alertas críticas directamente en tu correo.
CVE-2024-4346 is a critical vulnerability allowing unauthenticated attackers to delete arbitrary files on a WordPress server, potentially leading to site takeover due to improper file path validation in the Startklar Elementor Addons plugin.
You are affected if you are using Startklar Elementor Addons version 1.7.13 or earlier. Check your plugin version and upgrade immediately.
Upgrade the Startklar Elementor Addons plugin to the latest available version. Monitor the vendor's website for updates and implement temporary workarounds like restricting file upload permissions.
As of the current date, there is no confirmed evidence of active exploitation in the wild, but public proof-of-concept exploits are likely to emerge.
Check the official Startklar Elementor Addons website and WordPress plugin repository for the latest security advisory and update information.
Sube tu archivo de dependencias y detecta esta y otras CVEs al instante.
Sube tu archivo de dependencias y detecta esta y otras CVEs al instante.