Plateforme
wordpress
Composant
cs-framework
Corrigé dans
7.0.1
Le plugin CS Framework pour WordPress présente une vulnérabilité d'accès arbitraire aux fichiers. Cette faille, due à une validation insuffisante des chemins de fichiers dans la fonction cswidgetfile_delete(), permet à des attaquants authentifiés, disposant d'un accès de niveau Abonné ou supérieur, de supprimer des fichiers arbitraires sur le serveur. Les versions concernées sont celles inférieures ou égales à 7.0. Une correction a été publiée, et il est recommandé de mettre à jour le plugin.
L'exploitation réussie de cette vulnérabilité permet à un attaquant authentifié de supprimer des fichiers sensibles sur le serveur WordPress. La suppression de fichiers critiques tels que wp-config.php peut entraîner une exécution de code à distance (RCE), compromettant ainsi l'ensemble de l'installation WordPress. L'attaquant pourrait alors prendre le contrôle du serveur, voler des données sensibles, ou injecter du code malveillant. Cette vulnérabilité est particulièrement préoccupante car elle ne nécessite qu'un accès de niveau Abonné, ce qui est relativement facile à obtenir sur de nombreux sites WordPress.
Cette vulnérabilité a été publiée le 7 mars 2025. Bien qu'aucune preuve d'exploitation active n'ait été rapportée à ce jour, la simplicité de l'exploitation et la large utilisation du plugin CS Framework rendent cette vulnérabilité potentiellement dangereuse. Il est conseillé de prendre des mesures correctives rapidement. La vulnérabilité n'est pas encore répertoriée sur le KEV de CISA.
Statut de l'Exploit
EPSS
1.66% (percentile 82%)
CISA SSVC
Vecteur CVSS
La mesure la plus efficace pour atténuer cette vulnérabilité est de mettre à jour le plugin CS Framework vers la dernière version corrigée. En attendant la mise à jour, il est possible d'appliquer des mesures d'atténuation temporaires. Il est recommandé de restreindre les permissions des utilisateurs avec un accès de niveau Abonné ou supérieur. De plus, la mise en place d'un pare-feu applicatif web (WAF) peut aider à bloquer les tentatives d'exploitation. Enfin, surveillez attentivement les journaux du serveur pour détecter toute activité suspecte, notamment les tentatives de suppression de fichiers.
Actualice el plugin CS Framework a una versión posterior a la 7.0. Esto solucionará la vulnerabilidad de eliminación arbitraria de archivos. Si no hay una versión disponible, considere deshabilitar el plugin hasta que se publique una actualización.
Analyses de vulnérabilités et alertes critiques directement dans votre boîte mail.
It's an arbitrary file deletion vulnerability in the CS Framework WordPress plugin, allowing authenticated users to delete files on the server, potentially leading to remote code execution.
If you're using the CS Framework plugin in WordPress and are running a version 6.9 or earlier, you are potentially affected by this vulnerability.
Upgrade the CS Framework plugin to the latest available version to patch the vulnerability. If immediate upgrade isn't possible, implement temporary mitigation measures like WAF rules.
While not currently listed on KEV or EPSS, the ease of exploitation suggests a potential for active exploitation, so vigilance is advised.
Refer to the official WordPress plugin repository for updates and security advisories related to the CS Framework plugin and the CVE-2024-12035 vulnerability.
Téléverse ton fichier de dépendances et découvre instantanément si cette CVE et d'autres te touchent.
Téléverse ton fichier de dépendances et découvre instantanément si cette CVE et d'autres te touchent.