Plateforme
wordpress
Composant
classic-addons-wpbakery-page-builder-addons
Corrigé dans
3.0.1
Une vulnérabilité d'inclusion locale de fichiers (LFI) a été découverte dans le plugin Classic Addons – WPBakery Page Builder. Cette faille, due à une limitation incorrecte du chemin d'accès, permet à un attaquant de lire des fichiers sensibles sur le serveur. Elle affecte les versions du plugin antérieures ou égales à 3.0. La version 3.0.1 corrige cette vulnérabilité.
L'exploitation réussie de cette vulnérabilité permet à un attaquant de lire des fichiers arbitraires sur le serveur web hébergeant le plugin Classic Addons. Cela peut inclure des fichiers de configuration contenant des informations sensibles telles que des mots de passe, des clés API ou des informations de connexion à la base de données. L'attaquant pourrait également accéder à des fichiers sources du plugin ou d'autres applications web hébergées sur le même serveur, compromettant ainsi la confidentialité et l'intégrité du système. Bien qu'il ne s'agisse pas d'une exécution de code à distance, la lecture de fichiers sensibles peut servir de tremplin pour d'autres attaques, comme l'escalade de privilèges ou le vol de données.
Cette vulnérabilité a été publiée le 7 janvier 2025. Il n'y a pas d'indication d'une exploitation active à ce jour. La probabilité d'exploitation est considérée comme moyenne en raison de la nature de la vulnérabilité (LFI) et de la nécessité d'une interaction avec l'utilisateur pour exploiter la faille. Il n'est pas listé sur le KEV de CISA.
WordPress websites utilizing the Classic Addons – WPBakery Page Builder plugin, particularly those running versions 3.0 or earlier, are at significant risk. Shared hosting environments are especially vulnerable, as they often have limited control over server configurations and plugin security. Websites with weak file access permissions are also more susceptible to exploitation.
• wordpress / composer / npm:
grep -r "../" /var/www/html/wp-content/plugins/classic-addons-wpbakery-page-builder/*• generic web:
curl -I http://your-wordpress-site.com/wp-content/plugins/classic-addons-wpbakery-page-builder/../../../../etc/passwddisclosure
Statut de l'Exploit
EPSS
0.22% (percentile 44%)
CISA SSVC
Vecteur CVSS
La mesure la plus efficace pour atténuer cette vulnérabilité est de mettre à jour le plugin Classic Addons – WPBakery Page Builder vers la version 3.0.1 ou supérieure. Si la mise à jour n'est pas immédiatement possible, envisagez de restreindre les permissions du serveur web pour limiter l'accès aux fichiers sensibles. En attendant la mise à jour, il est possible de configurer un pare-feu d'application web (WAF) pour bloquer les requêtes suspectes qui tentent d'accéder à des fichiers non autorisés. Vérifiez également les fichiers de logs du serveur web pour détecter toute activité suspecte.
Actualice el plugin Classic Addons – WPBakery Page Builder a una versión posterior a la 3.0. Si no hay una versión disponible, considere deshabilitar el plugin hasta que se publique una versión corregida. Revise las notas de la versión actualizada para confirmar que la vulnerabilidad ha sido solucionada.
Analyses de vulnérabilités et alertes critiques directement dans votre boîte mail.
CVE-2024-56286 is a Path Traversal vulnerability in Classic Addons – WPBakery Page Builder allowing PHP Local File Inclusion, potentially leading to code execution.
Yes, if you are using Classic Addons – WPBakery Page Builder version 3.0 or earlier, you are affected by this vulnerability.
Upgrade to version 3.0.1 or later to resolve the vulnerability. If immediate upgrade isn't possible, implement temporary restrictions.
Currently, there are no confirmed active exploitation campaigns, but the vulnerability's nature suggests a potential for future exploitation.
Refer to the official Classic Addons website or WordPress plugin repository for the latest advisory and update information.
Téléverse ton fichier de dépendances et découvre instantanément si cette CVE et d'autres te touchent.
Téléverse ton fichier de dépendances et découvre instantanément si cette CVE et d'autres te touchent.