Plateforme
wordpress
Composant
woo-permalink-manager
Corrigé dans
2.3.11
La vulnérabilité CVE-2024-27971 est une faille de contournement de chemin (Path Traversal) affectant le plugin Premmerce Permalink Manager pour WooCommerce. Cette faille permet à un attaquant d'inclure des fichiers locaux PHP, compromettant potentiellement la confidentialité et l'intégrité du serveur. Les versions concernées sont celles inférieures ou égales à 2.3.10. Une mise à jour vers la version 2.3.11 corrige cette vulnérabilité.
Un attaquant exploitant cette vulnérabilité peut potentiellement lire des fichiers sensibles présents sur le serveur, tels que des fichiers de configuration contenant des informations d'identification, des clés API ou des données de base de données. L'inclusion de fichiers locaux PHP permet également l'exécution de code malveillant, ce qui pourrait conduire à la prise de contrôle complète du serveur. Bien que l'exploitation directe puisse nécessiter une certaine expertise, la simplicité de la faille la rend accessible à un large éventail d'attaquants. La compromission d'un site WooCommerce via cette vulnérabilité pourrait avoir des conséquences graves pour les données des clients et la réputation de l'entreprise.
Cette vulnérabilité a été rendue publique le 17 mai 2024. Il n'y a pas d'indications d'une exploitation active à grande échelle à ce jour. La probabilité d'exploitation est considérée comme moyenne en raison de la simplicité de la faille et de sa présence dans un plugin WordPress populaire. Il est probable que des preuves de concept (PoC) soient rapidement disponibles, ce qui pourrait augmenter le risque d'exploitation.
Websites using the Premmerce Permalink Manager for WooCommerce plugin, particularly those running older versions (≤2.3.10), are at risk. Shared hosting environments are particularly vulnerable as they often have limited control over server file permissions. Sites with misconfigured file permissions or inadequate WAF protection are also at increased risk.
• wordpress / composer / npm:
grep -r "../" /var/www/html/wp-content/plugins/premmerce-permalink-manager-for-woocommerce/*• generic web:
curl -I 'https://your-wordpress-site.com/wp-content/plugins/premmerce-permalink-manager-for-woocommerce/wp-admin/admin.php?page=premmerce-permalink-manager&file=../../../../etc/passwd' # Attempt to access sensitive filesdisclosure
Statut de l'Exploit
EPSS
48.09% (percentile 98%)
CISA SSVC
Vecteur CVSS
La mesure de mitigation principale est de mettre à jour immédiatement le plugin Premmerce Permalink Manager pour WooCommerce vers la version 2.3.11 ou supérieure. Si la mise à jour cause des problèmes de compatibilité, envisagez de revenir à une version précédente stable du plugin, si possible. En attendant la mise à jour, il est recommandé de restreindre l'accès au répertoire du plugin via les règles d'un pare-feu d'application web (WAF) ou un proxy inverse, en bloquant les requêtes contenant des séquences de caractères suspectes (par exemple, '..'). Surveillez les journaux du serveur pour détecter toute tentative d'accès non autorisé aux fichiers.
Actualice el plugin Premmerce Permalink Manager for WooCommerce a la última versión disponible. La vulnerabilidad de inclusión de archivos locales permite a atacantes acceder a archivos sensibles en el servidor. La actualización corrige esta vulnerabilidad.
Analyses de vulnérabilités et alertes critiques directement dans votre boîte mail.
CVE-2024-27971 is a Path Traversal vulnerability in Premmerce Permalink Manager for WooCommerce allowing attackers to potentially include arbitrary files, leading to sensitive information disclosure or code execution.
Yes, if you are using Premmerce Permalink Manager for WooCommerce versions 2.3.10 or earlier, you are affected by this vulnerability.
Upgrade the Premmerce Permalink Manager for WooCommerce plugin to version 2.3.11 or later. If immediate upgrade is not possible, restrict file access permissions and consider WAF rules.
While no public exploits are currently known, the vulnerability's nature makes it likely to be targeted, so prompt mitigation is crucial.
Refer to the Premmerce website and WordPress plugin repository for the latest advisory and update information.
Téléverse ton fichier de dépendances et découvre instantanément si cette CVE et d'autres te touchent.
Téléverse ton fichier de dépendances et découvre instantanément si cette CVE et d'autres te touchent.