Plateforme
wordpress
Composant
pdf-rechnungsverwaltung
Corrigé dans
0.0.2
Une vulnérabilité de type Path Traversal a été découverte dans le plugin WordPress PDF-Rechnungsverwaltung. Cette faille permet à un attaquant d'inclure des fichiers locaux arbitraires via la manipulation de chemins, conduisant potentiellement à l'exécution de code malveillant sur le serveur. Elle affecte les versions du plugin inférieures ou égales à 0.0.1. Une version corrigée (0.0.2) est désormais disponible.
L'exploitation réussie de cette vulnérabilité permet à un attaquant d'accéder à des fichiers sensibles sur le serveur WordPress, tels que des fichiers de configuration, des scripts PHP ou des données confidentielles. L'attaquant pourrait ainsi exécuter du code arbitraire, compromettre l'intégrité du site web et potentiellement accéder aux données des utilisateurs. Cette vulnérabilité est particulièrement préoccupante car elle peut être exploitée à distance sans authentification, ce qui augmente considérablement la surface d'attaque. La capacité d'inclusion de fichiers locaux ouvre la porte à diverses attaques, allant de la simple divulgation d'informations à la prise de contrôle complète du serveur.
Cette vulnérabilité a été publiée le 17 octobre 2024. Il n'y a pas d'indication d'une exploitation active à ce jour, ni de PoC publics largement diffusés. La vulnérabilité n'a pas encore été ajoutée au catalogue KEV de CISA. La probabilité d'exploitation est considérée comme modérée, compte tenu de la nature de la vulnérabilité et de sa facilité d'exploitation potentielle.
WordPress websites utilizing the PDF-Rechnungsverwaltung plugin, particularly those running versions prior to 0.0.2, are at risk. Shared hosting environments where users have limited control over plugin configurations are especially vulnerable, as are systems with weak file access permissions.
• wordpress / composer / npm:
grep -r "../" /var/www/html/wp-content/plugins/pdf-rechnungsverwaltung/*• generic web:
curl -I 'http://your-wordpress-site.com/wp-content/plugins/pdf-rechnungsverwaltung/../../../../etc/passwd' # Attempt to access sensitive filesdisclosure
Statut de l'Exploit
EPSS
0.33% (percentile 56%)
CISA SSVC
Vecteur CVSS
La mitigation immédiate consiste à mettre à jour le plugin PDF-Rechnungsverwaltung vers la version 0.0.2 ou supérieure. Si la mise à jour n'est pas possible en raison de problèmes de compatibilité, il est recommandé de désactiver temporairement le plugin. En attendant la mise à jour, une solution de contournement potentielle pourrait consister à restreindre les permissions d'accès aux fichiers sensibles sur le serveur. Il est également conseillé de surveiller les logs du serveur pour détecter toute activité suspecte. Après la mise à jour, vérifiez l'intégrité du plugin en vous assurant que les fichiers ont été correctement remplacés et qu'il n'y a pas d'erreurs de configuration.
Actualice el plugin PDF-Rechnungsverwaltung a una versión posterior a la 0.0.1. Si no hay una versión disponible, considere desinstalar el plugin hasta que se publique una versión corregida. Consulte la página del plugin en WordPress.org para obtener actualizaciones.
Analyses de vulnérabilités et alertes critiques directement dans votre boîte mail.
CVE-2024-49287 is a Path Traversal vulnerability affecting PDF-Rechnungsverwaltung versions up to 0.0.1, allowing attackers to potentially include arbitrary files on the server.
You are affected if you are using PDF-Rechnungsverwaltung version 0.0.1 or earlier. Upgrade to version 0.0.2 to resolve the vulnerability.
Upgrade PDF-Rechnungsverwaltung to version 0.0.2 or later. If immediate upgrade is not possible, implement temporary workarounds like WAF rules or file permission restrictions.
There is currently no evidence of CVE-2024-49287 being actively exploited in the wild.
Refer to the plugin developer's website or WordPress plugin repository for the official advisory and release notes regarding this vulnerability.
Téléverse ton fichier de dépendances et découvre instantanément si cette CVE et d'autres te touchent.
Téléverse ton fichier de dépendances et découvre instantanément si cette CVE et d'autres te touchent.