Plateforme
wordpress
Composant
wp-bootscraper
Corrigé dans
2.1.1
Une vulnérabilité de contournement de chemin (Path Traversal) a été découverte dans le plugin WordPress Bootscraper. Cette faille permet à un attaquant d'inclure des fichiers locaux arbitraires via PHP, compromettant potentiellement la confidentialité et l'intégrité du système. Elle affecte les versions du plugin Bootscraper antérieures ou égales à 2.1.0. Une version corrigée, 2.1.1, est désormais disponible.
L'exploitation réussie de cette vulnérabilité permet à un attaquant d'accéder à des fichiers sensibles sur le serveur web, tels que des fichiers de configuration, des clés API ou des données sensibles des utilisateurs. L'attaquant pourrait potentiellement exécuter du code arbitraire sur le serveur si le fichier inclus contient du code PHP malveillant. Le contournement de chemin est une technique courante utilisée pour accéder à des ressources non autorisées. Dans ce cas, l'inclusion de fichiers locaux PHP pourrait permettre à un attaquant de compromettre l'ensemble de l'installation WordPress.
Cette vulnérabilité a été publiée le 20 novembre 2024. Il n'y a pas d'indications d'exploitation active à ce jour. Aucun enregistrement sur le KEV (CISA Known Exploited Vulnerabilities) n'est disponible pour le moment. Des preuves de concept (PoC) publiques pourraient émerger, ce qui augmenterait le risque d'exploitation.
WordPress websites utilizing the Navneil Bootscraper plugin, particularly those running older versions (≤2.1.0), are at risk. Shared hosting environments where server file permissions are less tightly controlled are especially vulnerable, as attackers may be able to leverage the vulnerability to access files belonging to other users on the same server.
• wordpress / composer / npm:
grep -r "../" /var/www/html/wp-content/plugins/bootscraper/• generic web:
curl -I 'http://your-wordpress-site.com/wp-content/plugins/bootscraper/../../../../etc/passwd' # Check for file disclosuredisclosure
Statut de l'Exploit
EPSS
0.59% (percentile 69%)
CISA SSVC
Vecteur CVSS
La mitigation immédiate consiste à mettre à jour le plugin Bootscraper vers la version 2.1.1. Si la mise à jour n'est pas possible immédiatement, envisagez de restreindre l'accès au répertoire du plugin via les paramètres du serveur web ou en utilisant un pare-feu d'application web (WAF) pour bloquer les requêtes suspectes. Vérifiez également les journaux du serveur web pour détecter toute activité suspecte liée à des tentatives d'inclusion de fichiers. Après la mise à jour, vérifiez l'intégrité des fichiers du plugin pour vous assurer qu'ils n'ont pas été altérés.
Actualice el plugin Bootscraper a la última versión disponible. Si no hay una versión más reciente, considere desinstalar el plugin hasta que se publique una versión corregida. Esto evitará la explotación de la vulnerabilidad de inclusión de archivos locales.
Analyses de vulnérabilités et alertes critiques directement dans votre boîte mail.
CVE-2024-52449 is a Path Traversal vulnerability in the Navneil Bootscraper WordPress plugin, allowing attackers to potentially include arbitrary files on the server.
Yes, if you are using Bootscraper version 2.1.0 or earlier, you are affected by this vulnerability.
Upgrade the Bootscraper plugin to version 2.1.1 or later to resolve the vulnerability. Consider temporary workarounds if immediate upgrade is not possible.
While no widespread exploitation has been confirmed, the ease of exploitation suggests a potential for active scanning and attacks.
Refer to the official Navneil Bootscraper plugin page or WordPress.org plugin repository for the latest advisory and update information.
Téléverse ton fichier de dépendances et découvre instantanément si cette CVE et d'autres te touchent.
Téléverse ton fichier de dépendances et découvre instantanément si cette CVE et d'autres te touchent.