Plateforme
wordpress
Composant
addon-elements-for-elementor-page-builder
Corrigé dans
1.12.13
La vulnérabilité CVE-2024-1358 affecte le plugin Elementor Addon Elements pour WordPress, permettant un Traversal de Répertoire. Cette faille permet à des attaquants authentifiés, disposant d'un accès de contributeur ou supérieur, d'inclure le contenu de fichiers PHP arbitraires sur le serveur. Les versions concernées sont celles inférieures ou égales à 1.12.12. Une mise à jour vers une version corrigée est recommandée.
Un attaquant ayant un accès authentifié (contributeur ou supérieur) peut exploiter cette vulnérabilité pour inclure des fichiers PHP arbitraires sur le serveur WordPress. Cela peut conduire à la divulgation d'informations sensibles stockées dans ces fichiers, telles que des clés API, des mots de passe, ou des données de configuration. Dans le pire des cas, l'attaquant pourrait même exécuter du code malveillant sur le serveur, compromettant ainsi l'ensemble de l'application WordPress et potentiellement les données associées. Cette vulnérabilité est similaire à d'autres failles de Traversal de Répertoire qui ont permis l'accès non autorisé à des ressources sensibles.
Cette vulnérabilité a été rendue publique le 13 mars 2024. Il n'y a pas d'indication d'une exploitation active à grande échelle à ce jour. La probabilité d'exploitation est considérée comme moyenne en raison de la nécessité d'un accès authentifié. Il n'est pas listé sur le KEV de CISA au moment de la rédaction. Des preuves de concept publiques sont susceptibles d'émerger rapidement.
WordPress sites using the Elementor Addon Elements plugin, particularly those with contributor-level users or higher, are at risk. Shared hosting environments where users have limited control over server file permissions are especially vulnerable. Sites with outdated plugin versions are also at increased risk.
• wordpress / composer / npm:
grep -r "render function" /var/www/html/wp-content/plugins/elementor-addon-elements/• generic web:
curl -I https://your-wordpress-site.com/wp-content/plugins/elementor-addon-elements/some_file.php | grep "PHP/" # Check for PHP file exposuredisclosure
Statut de l'Exploit
EPSS
2.61% (percentile 86%)
Vecteur CVSS
La principale mesure d'atténuation consiste à mettre à jour le plugin Elementor Addon Elements vers une version corrigée dès que possible. Si la mise à jour n'est pas immédiatement possible, envisagez de restreindre les permissions des utilisateurs ayant un accès de contributeur ou supérieur. Il est également possible de configurer un pare-feu d'application web (WAF) pour bloquer les requêtes suspectes ciblant la fonction de rendu du plugin. Surveillez attentivement les journaux d'accès et d'erreurs du serveur WordPress pour détecter toute activité suspecte.
Actualice el plugin Elementor Addon Elements a la última versión disponible. La vulnerabilidad de recorrido de directorios permite la inclusión de archivos PHP arbitrarios, lo que podría exponer información sensible. La actualización corrige esta vulnerabilidad.
Analyses de vulnérabilités et alertes critiques directement dans votre boîte mail.
CVE-2024-1358 is a Directory Traversal vulnerability in the Elementor Addon Elements WordPress plugin, allowing authenticated attackers to include arbitrary PHP files.
You are affected if you are using Elementor Addon Elements version 1.12.12 or earlier. Check your plugin version and upgrade immediately.
Upgrade the Elementor Addon Elements plugin to the latest version, which contains a patch for this vulnerability. If immediate upgrade is not possible, restrict file access permissions.
While no widespread exploitation has been confirmed, the vulnerability's ease of exploitation makes it a likely target. Monitor your systems for suspicious activity.
Refer to the Elementor security advisory for detailed information and updates: [https://elementor.com/security/](https://elementor.com/security/)
Téléverse ton fichier de dépendances et découvre instantanément si cette CVE et d'autres te touchent.
Téléverse ton fichier de dépendances et découvre instantanément si cette CVE et d'autres te touchent.