Plateforme
wordpress
Composant
jobmonster
Corrigé dans
4.7.1
La vulnérabilité CVE-2024-37928 représente une faille d'accès arbitraire de fichiers (Path Traversal) au sein du plugin Jobmonster pour WordPress. Cette faille permet à un attaquant de manipuler des fichiers sensibles sur le serveur. Elle affecte les versions de Jobmonster antérieures ou égales à 4.7.0 et a été corrigée dans la version 4.7.1.
Un attaquant exploitant cette vulnérabilité peut potentiellement accéder à des fichiers situés en dehors du répertoire prévu, y compris des fichiers de configuration, des fichiers sources du plugin, ou même des fichiers du système de fichiers du serveur. Cela pourrait conduire à la divulgation d'informations sensibles, à l'exécution de code arbitraire, ou à la prise de contrôle complète du serveur WordPress. La manipulation de fichiers critiques pourrait également entraîner une dégradation du service ou une corruption des données. Bien que des cas d'exploitation directe ne soient pas encore rapportés, la nature de la vulnérabilité la rend facilement exploitable et constitue un risque significatif.
La vulnérabilité CVE-2024-37928 a été rendue publique le 12 juillet 2024. Aucune exploitation active n'a été signalée à ce jour, mais la simplicité de l'exploitation rend probable son exploitation future. Il n'y a pas d'entrée dans le KEV (Know Exploited Vulnerabilities) à ce jour. Des preuves de concept (PoC) pourraient rapidement apparaître en raison de la nature de la vulnérabilité.
WordPress websites utilizing the Jobmonster plugin, particularly those running versions prior to 4.7.1, are at risk. Shared hosting environments where users have limited control over plugin configurations are especially vulnerable, as are websites with legacy configurations that haven't been regularly updated.
• wordpress / composer / npm:
grep -r "../" /var/www/html/wp-content/plugins/jobmonster/*• generic web:
curl -I http://your-wordpress-site.com/wp-content/plugins/jobmonster/wp-admin/admin.php?page=jobmonster-settings&file=../../../../etc/passwd• wordpress / composer / npm:
wp plugin list --status=inactive | grep jobmonsterdisclosure
Statut de l'Exploit
EPSS
0.65% (percentile 71%)
CISA SSVC
Vecteur CVSS
La mesure la plus efficace pour atténuer cette vulnérabilité est de mettre à jour Jobmonster vers la version 4.7.1 ou supérieure. En attendant la mise à jour, il est possible de renforcer la sécurité en limitant les permissions d'écriture sur les répertoires sensibles du serveur. L'utilisation d'un pare-feu applicatif web (WAF) configuré pour bloquer les requêtes contenant des séquences de traversal de chemin (par exemple, '..') peut également aider à prévenir l'exploitation. Vérifiez également les permissions des fichiers et répertoires WordPress pour vous assurer qu'ils sont correctement configurés.
Actualice el tema Jobmonster a la última versión disponible. Si no hay una versión disponible, considere deshabilitar o reemplazar el tema con una alternativa segura. Consulte el registro de cambios del tema para obtener más detalles sobre la corrección de la vulnerabilidad.
Analyses de vulnérabilités et alertes critiques directement dans votre boîte mail.
CVE-2024-37928 is a HIGH severity vulnerability in Jobmonster WordPress plugin allowing attackers to manipulate files. It affects versions ≤4.7.0 and can lead to data exposure and server compromise.
If you are using Jobmonster version 4.7.0 or earlier, you are affected by this vulnerability. Check your plugin version and upgrade immediately.
Upgrade Jobmonster to version 4.7.1 or later. As a temporary workaround, implement a WAF rule to block path traversal attempts.
Currently, there are no confirmed reports of active exploitation, but the vulnerability's nature suggests potential for future exploitation.
Refer to the Jobmonster plugin website or the NooTheme support channels for the official advisory and further details.
Téléverse ton fichier de dépendances et découvre instantanément si cette CVE et d'autres te touchent.
Téléverse ton fichier de dépendances et découvre instantanément si cette CVE et d'autres te touchent.