Plataforma
wordpress
Componente
wpoptin
Corregido en
2.0.2
La vulnerabilidad CVE-2024-47645 es una falla de Path Traversal descubierta en el plugin Top Bar – PopUps – by WPOptin para WordPress. Esta falla permite a un atacante incluir archivos locales PHP, lo que podría resultar en la ejecución remota de código. La vulnerabilidad afecta a las versiones del plugin desde la versión desconocida hasta la 2.0.1, y se ha solucionado en la versión 2.0.2.
Un atacante puede explotar esta vulnerabilidad para leer archivos sensibles en el servidor web, incluyendo archivos de configuración, contraseñas y código fuente. La inclusión de archivos locales PHP permite la ejecución de código arbitrario en el contexto del usuario de la aplicación web, lo que podría resultar en el control total del sitio WordPress. Esta vulnerabilidad es particularmente peligrosa porque no requiere autenticación, lo que significa que cualquier usuario anónimo puede intentar explotarla. La ejecución de código arbitrario podría permitir a un atacante modificar la base de datos, instalar malware o incluso tomar el control completo del servidor.
La vulnerabilidad fue publicada el 16 de octubre de 2024. No se ha reportado su inclusión en el KEV de CISA ni se han identificado campañas de explotación activas. La disponibilidad de un PoC público podría aumentar el riesgo de explotación. Se recomienda monitorear los registros del servidor web en busca de intentos de explotación.
WordPress websites using the Top Bar – PopUps plugin, particularly those running versions 2.0.1 or earlier, are at risk. Shared hosting environments where file permissions are not tightly controlled are especially vulnerable, as an attacker could potentially exploit this flaw to gain access to other websites hosted on the same server.
• wordpress / composer / npm:
grep -r "../" /var/www/html/wp-content/plugins/top-bar-popups-by-wpoptin/*• generic web:
curl -I 'http://your-wordpress-site.com/wp-content/plugins/top-bar-popups-by-wpoptin/../../../../etc/passwd' # Check for file disclosuredisclosure
Estado del Exploit
EPSS
0.40% (61% percentil)
CISA SSVC
Vector CVSS
La mitigación principal para CVE-2024-47645 es actualizar el plugin Top Bar – PopUps – by WPOptin a la versión 2.0.2 o superior. Si la actualización causa problemas de compatibilidad, considere realizar una copia de seguridad completa del sitio web antes de aplicar la actualización. Como medida temporal, se puede implementar una regla en el firewall de aplicaciones web (WAF) para bloquear solicitudes que contengan caracteres de path traversal (../) en la URL. Además, revise los permisos de los archivos y directorios del plugin para asegurarse de que solo el usuario web tenga acceso de lectura y escritura.
Actualice el plugin WPOptin a la última versión disponible. La vulnerabilidad de inclusión de archivos locales permite a atacantes acceder a archivos sensibles en el servidor. La actualización corrige esta vulnerabilidad.
Análisis de vulnerabilidades y alertas críticas directamente en tu correo.
CVE-2024-47645 is a Path Traversal vulnerability in the Top Bar – PopUps plugin for WordPress, allowing attackers to potentially include arbitrary files on the server.
Yes, if you are using Top Bar – PopUps by WPOptin version 2.0.1 or earlier, you are affected by this vulnerability.
Upgrade the Top Bar – PopUps plugin to version 2.0.2 or later to resolve this vulnerability. Consider temporary workarounds like WAF rules if immediate upgrade is not possible.
Active exploitation is not currently confirmed, but the vulnerability's potential impact warrants immediate remediation.
Check the WPOptin website and WordPress plugin repository for the official advisory and update information.
Sube tu archivo de dependencias y detecta esta y otras CVEs al instante.
Sube tu archivo de dependencias y detecta esta y otras CVEs al instante.