Plugin WordPress ABCApp Creator <= 1.1.2 - Vulnérabilité d'inclusion de fichier local (Local File Inclusion)

L'exploitation réussie de cette vulnérabilité permet à un attaquant de lire des fichiers arbitraires sur le serveur, potentiellement contenant des informations confidentielles telles que des mots de passe, des clés API, ou des données sensibles des utilisateurs. Un attaquant pourrait également inclure des fichiers malveillants pour compromettre davantage le système. Le risque est accru si le serveur héberge d'autres applications ou services, car l'attaquant pourrait potentiellement utiliser cette vulnérabilité comme point de départ pour des attaques plus larges. Cette vulnérabilité rappelle les risques associés à l'inclusion de fichiers non validés, où un attaquant peut manipuler les chemins d'accès pour accéder à des ressources non autorisées.

Websites utilizing ABCApp Creator, particularly those running older versions (≤1.1.2), are at risk. Shared hosting environments are especially vulnerable as they often have limited control over server configurations and file permissions. Sites with misconfigured file access controls or inadequate WAF protection are also at increased risk.

• wordpress / composer / npm:

grep -r '../' /var/www/html/wp-content/plugins/abcapp-creator/*

• generic web:

curl -I 'http://your-website.com/index.php?page=../../../../etc/passwd'

• wordpress / composer / npm:

wp plugin list --status=inactive | grep abcapp-creator

• wordpress / composer / npm:

find /var/www/html/wp-content/plugins/abcapp-creator/ -name '*.php' -print0 | xargs -0 grep -i 'include('

1. 2024-10-05Disclosure

   disclosure

1. Réservé2024-08-18
2. Publiée2024-10-05
3. Modifiée2024-10-07
4. EPSS mis à jour2026-04-02

La solution la plus efficace est de mettre à jour ABCApp Creator vers la version 1.1.3 ou supérieure, qui corrige cette vulnérabilité. En attendant la mise à jour, il est possible de mettre en place des mesures de protection temporaires. Vérifiez les permissions des fichiers et des répertoires pour vous assurer que seuls les utilisateurs autorisés ont accès en lecture. Si possible, désactivez temporairement l'accès public aux répertoires sensibles. Mettez en œuvre des règles de pare-feu d'application web (WAF) pour bloquer les requêtes contenant des caractères de contournement de chemin (par exemple, '..'). Après la mise à jour, vérifiez l'intégrité des fichiers pour confirmer que la correction a été appliquée correctement.