Plateforme
wordpress
Composant
jettabs
Corrigé dans
2.2.4
La vulnérabilité CVE-2024-7146 affecte le plugin JetTabs for Elementor pour WordPress, et permet une Inclusion Locale de Fichier (LFI). Cette faille permet à un attaquant authentifié, disposant d'un accès de niveau Contributeur ou supérieur, d'inclure et d'exécuter des fichiers arbitraires sur le serveur. Les versions concernées sont celles inférieures ou égales à 2.2.3. Une correction a été publiée et il est recommandé de mettre à jour le plugin.
L'exploitation réussie de cette vulnérabilité permet à un attaquant d'exécuter du code PHP arbitraire sur le serveur WordPress. Cela peut conduire à la compromission complète du site web, y compris le vol de données sensibles, la modification du contenu, l'installation de portes dérobées et l'utilisation du serveur pour lancer d'autres attaques. L'attaquant peut contourner les contrôles d'accès et potentiellement obtenir un contrôle total sur l'environnement WordPress. Cette vulnérabilité est particulièrement préoccupante car elle ne nécessite qu'un accès de niveau Contributeur, ce qui est un niveau d'accès relativement courant sur de nombreux sites WordPress. L'inclusion de fichiers arbitraires ouvre la porte à une multitude d'attaques, similaires à celles observées dans d'autres vulnérabilités LFI.
Cette vulnérabilité a été rendue publique le 16 août 2024. Il n'y a pas d'indication d'une exploitation active à grande échelle à ce jour. Bien qu'il n'y ait pas de preuve d'exploitation, la nature de la vulnérabilité (LFI) et sa facilité d'exploitation potentielle la rendent préoccupante. Il est probable que des attaquants commencent à scanner les sites WordPress à la recherche de cette vulnérabilité. Il est conseillé de surveiller attentivement les logs du serveur et du plugin.
WordPress websites using the JetTabs for Elementor plugin, particularly those with users having Contributor-level access or higher, are at risk. Shared hosting environments where users have limited control over file permissions are also at increased risk, as attackers may be able to upload malicious files more easily. Websites with outdated plugin versions are particularly vulnerable.
• wordpress / composer / npm:
grep -r 'switcher_preset' /var/www/html/wp-content/plugins/jet-tabs-for-elementor/• wordpress / composer / npm:
wp plugin list --status=all | grep jet-tabs-for-elementor• wordpress / composer / npm:
curl -I http://your-wordpress-site.com/wp-content/plugins/jet-tabs-for-elementor/ | grep switcher_presetdisclosure
Statut de l'Exploit
EPSS
0.37% (percentile 59%)
CISA SSVC
Vecteur CVSS
La mitigation principale consiste à mettre à jour JetTabs for Elementor vers la dernière version disponible, qui corrige cette vulnérabilité. Si la mise à jour n'est pas immédiatement possible, des mesures d'atténuation temporaires peuvent être mises en place. Il est recommandé de restreindre les droits d'accès des utilisateurs au niveau minimum nécessaire. De plus, il est possible de configurer un pare-feu d'application web (WAF) pour bloquer les requêtes contenant des paramètres suspects, tels que 'switcher_preset'. Vérifiez également les fichiers uploadés pour détecter d'éventuelles modifications suspectes. Après la mise à jour, vérifiez l'intégrité des fichiers du plugin et assurez-vous qu'il n'y a pas de fichiers malveillants.
Actualice el plugin JetTabs for Elementor a la última versión disponible. La vulnerabilidad se encuentra en versiones anteriores a la más reciente. La actualización corregirá la vulnerabilidad de inclusión de archivos locales.
Analyses de vulnérabilités et alertes critiques directement dans votre boîte mail.
CVE-2024-7146 is a Local File Inclusion vulnerability in the JetTabs for Elementor plugin, allowing authenticated attackers to execute arbitrary PHP code.
You are affected if you are using JetTabs for Elementor version 2.2.3 or earlier and have users with Contributor access or higher.
Upgrade the JetTabs for Elementor plugin to the latest available version that contains the fix. Consider temporary workarounds if immediate upgrade is not possible.
There is currently no confirmed active exploitation, but the vulnerability is publicly known and could be exploited.
Refer to the JetTabs for Elementor plugin documentation and website for the official advisory and update information.
Téléverse ton fichier de dépendances et découvre instantanément si cette CVE et d'autres te touchent.
Téléverse ton fichier de dépendances et découvre instantanément si cette CVE et d'autres te touchent.