Plataforma
wordpress
Componente
filester
Corregido en
1.8.6
1.8.6
Se ha identificado una vulnerabilidad de Inclusión de Archivos JavaScript Local (JSFI) en el plugin Filester para WordPress, afectando a versiones hasta la 1.8.5. Esta falla permite a atacantes autenticados con acceso de administrador o superior incluir y ejecutar archivos arbitrarios en el servidor. La vulnerabilidad fue parcialmente solucionada en la versión 1.8.6, y se recomienda actualizar para mitigar el riesgo.
La vulnerabilidad JSFI en Filester permite a un atacante autenticado con privilegios de administrador incluir y ejecutar código arbitrario en el servidor. Esto puede resultar en la ejecución remota de código (RCE), el robo de información confidencial, la modificación de archivos del sistema y la toma de control del sitio web. Un atacante podría subir imágenes u otros archivos considerados seguros y luego incluirlos a través del parámetro 'fm_locale', explotando así la vulnerabilidad. La capacidad de ejecutar código arbitrario abre la puerta a una amplia gama de ataques, incluyendo la instalación de puertas traseras y el compromiso completo del servidor.
Esta vulnerabilidad ha sido publicada públicamente el 27 de noviembre de 2024. No se ha reportado su inclusión en el Catálogo de Vulnerabilidades Conocidas (KEV) de CISA al momento de la redacción. No se han identificado públicamente pruebas de concepto (PoC) activas, pero la naturaleza de la vulnerabilidad JSFI la hace susceptible a explotación. Se recomienda monitorear activamente la situación y aplicar las mitigaciones necesarias.
WordPress websites utilizing the Filester plugin, particularly those with administrator accounts that have not been secured with strong passwords and multi-factor authentication, are at risk. Shared hosting environments where plugin updates are not managed centrally are also particularly vulnerable.
• wordpress / composer / npm:
grep -r 'fm_locale' /var/www/html/wp-content/plugins/filester/• wordpress / composer / npm:
wp plugin list --status=all | grep filester• wordpress / composer / npm:
wp plugin update filester --alldisclosure
Estado del Exploit
EPSS
0.13% (32% percentil)
CISA SSVC
Vector CVSS
La mitigación principal es actualizar el plugin Filester a la versión 1.8.6 o superior, que incluye la corrección para esta vulnerabilidad. Si la actualización no es inmediatamente posible, se recomienda restringir el acceso al parámetro 'fm_locale' a través de reglas de firewall de aplicaciones web (WAF) o proxies inversos. Además, se debe revisar y endurecer los permisos de los archivos y directorios del plugin para limitar el impacto potencial de la explotación. Monitorear los logs del servidor en busca de intentos de inclusión de archivos sospechosos también puede ayudar a detectar y responder a posibles ataques.
Actualizar a la versión 1.8.6, o una versión parcheada más reciente
Análisis de vulnerabilidades y alertas críticas directamente en tu correo.
CVE-2024-9669 is a vulnerability in the Filester WordPress plugin allowing authenticated admins to include and execute arbitrary files, potentially leading to code execution.
You are affected if you are using Filester version 1.8.5 or earlier. Upgrade to 1.8.6 to resolve the vulnerability.
Upgrade the Filester plugin to version 1.8.6 or later. If immediate upgrade isn't possible, restrict file upload permissions and consider a WAF.
While no confirmed active exploitation campaigns are currently known, the vulnerability's ease of exploitation makes it a potential target.
Refer to the official Filester plugin documentation and WordPress security announcements for the latest information and advisory regarding CVE-2024-9669.
Sube tu archivo de dependencias y detecta esta y otras CVEs al instante.
Sube tu archivo de dependencias y detecta esta y otras CVEs al instante.