Plataforma
wordpress
Componente
digipass
Corregido en
0.3.1
La vulnerabilidad CVE-2024-52378 es una falla de Path Traversal detectada en DigiPass, un plugin de WordPress. Esta falla permite a un atacante acceder a archivos arbitrarios en el servidor, comprometiendo la confidencialidad de la información. Afecta a las versiones de DigiPass anteriores o iguales a 0.3.0. Se ha lanzado una actualización a la versión 0.3.1 para mitigar este riesgo.
Un atacante que explote esta vulnerabilidad puede leer archivos confidenciales del servidor, como archivos de configuración, contraseñas o código fuente. Esto podría llevar a la exposición de información sensible, la toma de control del sitio web o incluso el acceso al sistema subyacente. La falla de Path Traversal permite a un atacante sortear las restricciones de directorio y acceder a recursos que normalmente estarían protegidos. La severidad del impacto depende de la sensibilidad de los archivos accesibles y de la configuración del servidor.
La vulnerabilidad fue publicada el 14 de noviembre de 2024. No se ha reportado explotación activa en campañas conocidas, pero la disponibilidad de la vulnerabilidad y su relativa facilidad de explotación la convierten en un objetivo potencial. No se ha añadido a KEV a la fecha. Se recomienda monitorear la situación y aplicar las mitigaciones lo antes posible.
WordPress websites utilizing the DigiPass plugin, particularly those running versions prior to 0.3.0, are at risk. Shared hosting environments where multiple websites share the same server resources are especially vulnerable, as a compromise of one site could potentially expose files on other sites.
• wordpress / composer / npm:
grep -r '../' /var/www/html/wp-content/plugins/digipass/*• generic web:
curl -I 'http://your-wordpress-site.com/wp-content/plugins/digipass/../../../../etc/passwd' # Check for file disclosuredisclosure
Estado del Exploit
EPSS
0.22% (44% percentil)
CISA SSVC
Vector CVSS
La mitigación principal para CVE-2024-52378 es actualizar DigiPass a la versión 0.3.1 o superior. Si la actualización no es posible de inmediato, se recomienda implementar medidas de seguridad adicionales, como restringir los permisos de los archivos y directorios del servidor. Además, se pueden configurar reglas en un firewall de aplicaciones web (WAF) para bloquear solicitudes que contengan caracteres de Path Traversal (../). Verificar los permisos de archivos y directorios es crucial para limitar el daño potencial.
Actualice el plugin DigiPass a una versión posterior a la 0.3.0. Esto solucionará la vulnerabilidad de descarga arbitraria de archivos. Si no hay una versión disponible, considere deshabilitar el plugin hasta que se publique una actualización.
Análisis de vulnerabilidades y alertas críticas directamente en tu correo.
CVE-2024-52378 is a HIGH severity vulnerability in DigiPass WordPress plugin allowing attackers to read arbitrary files due to improper path validation. Versions affected are those prior to 0.3.1.
Yes, if you are using DigiPass version 0.3.0 or earlier, you are vulnerable to this Arbitrary File Access vulnerability.
Upgrade DigiPass to version 0.3.1 or later to resolve the vulnerability. Consider WAF rules as a temporary mitigation if upgrading is not immediately possible.
While there's no confirmed active exploitation, public proof-of-concept exploits exist, increasing the risk of future attacks.
Refer to the Labs64 website and WordPress plugin repository for the official advisory and update information regarding CVE-2024-52378.
Sube tu archivo de dependencias y detecta esta y otras CVEs al instante.
Sube tu archivo de dependencias y detecta esta y otras CVEs al instante.