Plateforme
wordpress
Composant
sp-client-document-manager
Corrigé dans
4.71.1
Une vulnérabilité de traversal de répertoire a été découverte dans SP Project & Document Manager, permettant à un attaquant de potentiellement accéder à des fichiers sensibles situés en dehors du répertoire prévu. Cette vulnérabilité, classée avec une sévérité élevée (CVSS 7.5), affecte les versions du logiciel inférieures ou égales à 4.71. Une version corrigée, 4.71.1, est désormais disponible pour remédier à ce problème.
L'exploitation réussie de cette vulnérabilité de traversal de répertoire permet à un attaquant de contourner les contrôles d'accès et de lire des fichiers arbitraires sur le serveur. Cela peut inclure des fichiers de configuration contenant des informations sensibles, des données de base de données, ou même des fichiers du système d'exploitation. L'attaquant pourrait potentiellement obtenir un accès non autorisé à des informations confidentielles, modifier des fichiers critiques, ou même compromettre l'ensemble du serveur. Bien qu'il n'y ait pas de cas d'exploitation publique connus à ce jour, la nature de la vulnérabilité la rend potentiellement exploitable par des acteurs malveillants.
Cette vulnérabilité a été rendue publique le 9 juillet 2024. Elle n'est pas actuellement répertoriée sur le KEV de CISA, ni associée à une campagne d'exploitation active connue. Bien qu'aucun proof-of-concept public n'ait été largement diffusé, la nature de la vulnérabilité de traversal de répertoire suggère qu'elle pourrait être facilement exploitée par des attaquants disposant de compétences techniques.
Organizations using SP Project & Document Manager, particularly those running older versions (≤4.71) on shared hosting environments, are at increased risk. Sites with misconfigured file permissions or inadequate WAF protection are also more vulnerable.
• wordpress / composer / npm:
grep -r "../" /var/www/html/wp-content/plugins/sp-project-document-manager/*• generic web:
curl -I 'http://your-wordpress-site.com/wp-content/uploads/../../../../etc/passwd' # Check for file disclosuredisclosure
Statut de l'Exploit
EPSS
1.49% (percentile 81%)
CISA SSVC
Vecteur CVSS
La mitigation immédiate consiste à mettre à jour SP Project & Document Manager vers la version 4.71.1 ou supérieure, qui corrige cette vulnérabilité. Si la mise à jour n'est pas possible immédiatement, envisagez de restreindre les permissions d'accès aux fichiers et répertoires du serveur pour limiter l'impact potentiel d'une exploitation. Il est également recommandé de surveiller attentivement les journaux du serveur pour détecter toute activité suspecte. En attendant la mise à jour, une configuration WAF (Web Application Firewall) peut être mise en place pour bloquer les requêtes contenant des séquences de traversal de répertoire (par exemple, ../).
Actualice el plugin SP Project & Document Manager a la última versión disponible. La vulnerabilidad de path traversal permite el acceso a archivos no autorizados, por lo que es crucial actualizar para mitigar el riesgo. Consulte la página del plugin en WordPress.org para obtener la versión más reciente.
Analyses de vulnérabilités et alertes critiques directement dans votre boîte mail.
CVE-2024-37224 is a vulnerability allowing attackers to read arbitrary files on a server running SP Project & Document Manager. It's rated HIGH severity due to the potential for sensitive data exposure.
You are affected if you are using SP Project & Document Manager versions 4.71 and earlier. Upgrade to 4.71.1 to resolve the issue.
Upgrade to version 4.71.1 or later. As a temporary workaround, implement WAF rules to block path traversal attempts and monitor access logs.
As of July 2024, no active exploitation has been publicly confirmed, but it's crucial to apply the patch promptly.
Refer to the official SP Project & Document Manager website or their security advisory page for the latest information and updates regarding CVE-2024-37224.
Téléverse ton fichier de dépendances et découvre instantanément si cette CVE et d'autres te touchent.
Téléverse ton fichier de dépendances et découvre instantanément si cette CVE et d'autres te touchent.