Plateforme
wordpress
Composant
wp-timelines
Corrigé dans
3.6.8
Une vulnérabilité de contournement de chemin (Path Traversal) a été découverte dans le plugin WP Timeline – Vertical et Horizontal timeline pour WordPress. Cette faille permet à un attaquant d'inclure des fichiers PHP locaux, compromettant potentiellement la sécurité du serveur. Elle affecte les versions du plugin antérieures ou égales à 3.6.7. Une version corrigée, 3.6.8, est désormais disponible.
L'exploitation réussie de cette vulnérabilité permet à un attaquant d'accéder à des fichiers sensibles situés sur le serveur web. En incluant des fichiers PHP arbitraires, l'attaquant peut exécuter du code malveillant, compromettre l'intégrité du site WordPress et potentiellement obtenir un accès non autorisé aux données sensibles. Le risque est amplifié si le serveur web dispose d'autorisations laxistes ou si des fichiers de configuration sensibles sont accessibles. Cette vulnérabilité pourrait être exploitée pour voler des informations d'identification, modifier le contenu du site ou même prendre le contrôle complet du serveur.
Cette vulnérabilité a été rendue publique le 5 octobre 2024. Bien qu'il n'y ait pas de preuve d'exploitation active à ce jour, la nature de la vulnérabilité (Path Traversal) la rend potentiellement exploitable par des acteurs malveillants. Il est conseillé de prendre des mesures correctives rapidement pour minimiser le risque. Aucune mention sur le KEV à ce jour.
Websites using the WP Timeline plugin, particularly those running older, unpatched versions (≤3.6.7), are at significant risk. Shared hosting environments are especially vulnerable, as they often lack granular control over file permissions and security configurations. Sites with weak WordPress security practices, such as default user credentials or outdated plugins, are also more susceptible to exploitation.
• wordpress / composer / npm:
grep -r "../" /var/www/html/wp-content/plugins/wp-timeline/• wordpress / composer / npm:
wp plugin list --status=inactive | grep timeline• wordpress / composer / npm:
find /var/www/html/wp-content/plugins/wp-timeline/ -name '*.php' -print0 | xargs -0 grep -i 'include($_GET['file']);'disclosure
Statut de l'Exploit
EPSS
0.65% (percentile 71%)
CISA SSVC
Vecteur CVSS
La mesure la plus efficace pour atténuer cette vulnérabilité est de mettre à jour immédiatement le plugin WP Timeline – Vertical et Horizontal timeline vers la version 3.6.8 ou ultérieure. Si la mise à jour n'est pas immédiatement possible, envisagez de restreindre les autorisations d'accès aux fichiers du serveur web pour limiter l'impact potentiel d'une exploitation. Il est également recommandé de mettre en place un pare-feu d'application web (WAF) pour bloquer les tentatives d'exploitation de cette vulnérabilité. Surveillez attentivement les journaux du serveur web pour détecter toute activité suspecte.
Actualice el plugin WP Timeline a la última versión disponible. La vulnerabilidad de inclusión de archivos locales permite a atacantes acceder a archivos sensibles del servidor. La actualización corrige esta vulnerabilidad.
Analyses de vulnérabilités et alertes critiques directement dans votre boîte mail.
CVE-2024-47323 is a Path Traversal vulnerability in the WP Timeline plugin for WordPress, allowing attackers to potentially include arbitrary PHP files and execute code.
You are affected if you are using the WP Timeline plugin version 3.6.7 or earlier. Upgrade to version 3.6.8 to mitigate the risk.
The recommended fix is to upgrade the WP Timeline plugin to version 3.6.8. If immediate upgrade is not possible, implement temporary workarounds like restricting file access and monitoring logs.
While there are currently no confirmed active campaigns, the vulnerability's nature makes it likely to be targeted, so prompt mitigation is crucial.
Refer to the Ex-Themes website and WordPress plugin repository for the official advisory and update information regarding CVE-2024-47323.
Téléverse ton fichier de dépendances et découvre instantanément si cette CVE et d'autres te touchent.
Téléverse ton fichier de dépendances et découvre instantanément si cette CVE et d'autres te touchent.