Plateforme
wordpress
Composant
digipass
Corrigé dans
0.3.1
La vulnérabilité CVE-2024-52378 est une faille d'accès arbitraire de fichiers (Path Traversal) découverte dans DigiPass, un plugin WordPress. Cette vulnérabilité permet à un attaquant de lire des fichiers sensibles situés en dehors du répertoire prévu. Elle affecte les versions de DigiPass antérieures ou égales à 0.3.0 et a été corrigée dans la version 0.3.1.
Un attaquant exploitant cette vulnérabilité peut potentiellement accéder à des fichiers critiques sur le serveur web, tels que des fichiers de configuration, des bases de données, ou même des fichiers système. Cela pourrait conduire à la divulgation d'informations sensibles, à la compromission du serveur, ou à l'exécution de code malveillant. L'accès arbitraire de fichiers représente un risque significatif, car il permet à un attaquant de contourner les mesures de sécurité standard et d'obtenir un contrôle non autorisé sur le système.
Cette vulnérabilité a été rendue publique le 14 novembre 2024. Il n'y a pas d'indications d'une exploitation active à grande échelle à ce jour. La probabilité d'exploitation est considérée comme moyenne, compte tenu de la nature de la vulnérabilité (Path Traversal) et de sa facilité d'exploitation potentielle. Il est conseillé de surveiller les forums de sécurité et les bases de données de vulnérabilités pour toute nouvelle information.
WordPress websites utilizing the DigiPass plugin, particularly those running versions prior to 0.3.0, are at risk. Shared hosting environments where multiple websites share the same server resources are especially vulnerable, as a compromise of one site could potentially expose files on other sites.
• wordpress / composer / npm:
grep -r '../' /var/www/html/wp-content/plugins/digipass/*• generic web:
curl -I 'http://your-wordpress-site.com/wp-content/plugins/digipass/../../../../etc/passwd' # Check for file disclosuredisclosure
Statut de l'Exploit
EPSS
0.22% (percentile 44%)
CISA SSVC
Vecteur CVSS
La mitigation principale consiste à mettre à jour DigiPass vers la version 0.3.1 ou supérieure, qui corrige cette vulnérabilité. En attendant la mise à jour, il est possible de renforcer la sécurité en limitant les droits d'accès au répertoire du plugin et en désactivant temporairement le plugin si cela est possible sans impacter les fonctionnalités essentielles du site. Vérifiez également les règles de votre pare-feu d'application web (WAF) pour bloquer les requêtes contenant des séquences de caractères suspectes (../). Après la mise à jour, vérifiez l'intégrité des fichiers du plugin et assurez-vous qu'il n'y a pas de fichiers suspects.
Actualice el plugin DigiPass a una versión posterior a la 0.3.0. Esto solucionará la vulnerabilidad de descarga arbitraria de archivos. Si no hay una versión disponible, considere deshabilitar el plugin hasta que se publique una actualización.
Analyses de vulnérabilités et alertes critiques directement dans votre boîte mail.
CVE-2024-52378 is a HIGH severity vulnerability in DigiPass WordPress plugin allowing attackers to read arbitrary files due to improper path validation. Versions affected are those prior to 0.3.1.
Yes, if you are using DigiPass version 0.3.0 or earlier, you are vulnerable to this Arbitrary File Access vulnerability.
Upgrade DigiPass to version 0.3.1 or later to resolve the vulnerability. Consider WAF rules as a temporary mitigation if upgrading is not immediately possible.
While there's no confirmed active exploitation, public proof-of-concept exploits exist, increasing the risk of future attacks.
Refer to the Labs64 website and WordPress plugin repository for the official advisory and update information regarding CVE-2024-52378.
Téléverse ton fichier de dépendances et découvre instantanément si cette CVE et d'autres te touchent.
Téléverse ton fichier de dépendances et découvre instantanément si cette CVE et d'autres te touchent.