Plateforme
wordpress
Composant
wpoptin
Corrigé dans
2.0.2
La vulnérabilité CVE-2024-47645 est une faille de contournement de chemin (Path Traversal) présente dans le plugin WordPress « Top Bar – PopUps – by WPOptin ». Cette faille permet à un attaquant d'inclure des fichiers PHP locaux arbitraires, compromettant potentiellement la confidentialité et l'intégrité du serveur. Les versions concernées sont celles inférieures ou égales à 2.0.1. Une correction a été déployée dans la version 2.0.2.
Un attaquant exploitant cette vulnérabilité peut lire des fichiers sensibles présents sur le serveur web, tels que des fichiers de configuration, des clés API, ou même le code source de l'application. L'inclusion de fichiers arbitraires permet un accès non autorisé aux données et peut conduire à une compromission complète du serveur. Cette faille est particulièrement dangereuse car elle permet de contourner les mécanismes de sécurité standard et d'accéder à des ressources qui ne devraient pas être accessibles publiquement. Bien qu'il n'y ait pas de rapports d'exploitation active connus, la facilité d'exploitation de cette vulnérabilité en fait une cible privilégiée pour les attaquants.
Cette vulnérabilité a été divulguée publiquement le 16 octobre 2024. Bien qu'il n'y ait pas d'indication d'exploitation active à ce jour, la simplicité de l'exploitation et la popularité du plugin en font une cible potentielle. Il n'est pas listé sur le KEV de CISA ni associé à un score EPSS. Des preuves de concept (PoC) publiques sont susceptibles d'émerger rapidement.
WordPress websites using the Top Bar – PopUps plugin, particularly those running versions 2.0.1 or earlier, are at risk. Shared hosting environments where file permissions are not tightly controlled are especially vulnerable, as an attacker could potentially exploit this flaw to gain access to other websites hosted on the same server.
• wordpress / composer / npm:
grep -r "../" /var/www/html/wp-content/plugins/top-bar-popups-by-wpoptin/*• generic web:
curl -I 'http://your-wordpress-site.com/wp-content/plugins/top-bar-popups-by-wpoptin/../../../../etc/passwd' # Check for file disclosuredisclosure
Statut de l'Exploit
EPSS
0.40% (percentile 61%)
CISA SSVC
Vecteur CVSS
La mitigation immédiate consiste à mettre à jour le plugin « Top Bar – PopUps – by WPOptin » vers la version 2.0.2 ou supérieure. Si la mise à jour n'est pas possible immédiatement, il est recommandé de restreindre l'accès aux fichiers sensibles sur le serveur. Des règles WAF (Web Application Firewall) peuvent être configurées pour bloquer les requêtes contenant des caractères de contournement de chemin (par exemple, ../). Il est également conseillé de vérifier régulièrement les fichiers journaux du serveur pour détecter toute tentative d'exploitation de cette vulnérabilité. Après la mise à jour, vérifiez l'intégrité des fichiers du plugin pour confirmer l'application de la correction.
Actualice el plugin WPOptin a la última versión disponible. La vulnerabilidad de inclusión de archivos locales permite a atacantes acceder a archivos sensibles en el servidor. La actualización corrige esta vulnerabilidad.
Analyses de vulnérabilités et alertes critiques directement dans votre boîte mail.
CVE-2024-47645 is a Path Traversal vulnerability in the Top Bar – PopUps plugin for WordPress, allowing attackers to potentially include arbitrary files on the server.
Yes, if you are using Top Bar – PopUps by WPOptin version 2.0.1 or earlier, you are affected by this vulnerability.
Upgrade the Top Bar – PopUps plugin to version 2.0.2 or later to resolve this vulnerability. Consider temporary workarounds like WAF rules if immediate upgrade is not possible.
Active exploitation is not currently confirmed, but the vulnerability's potential impact warrants immediate remediation.
Check the WPOptin website and WordPress plugin repository for the official advisory and update information.
Téléverse ton fichier de dépendances et découvre instantanément si cette CVE et d'autres te touchent.
Téléverse ton fichier de dépendances et découvre instantanément si cette CVE et d'autres te touchent.