Plateforme
wordpress
Composant
wp-all-import-pro
Corrigé dans
4.9.4
La vulnérabilité CVE-2024-9624 affecte le plugin WP All Import Pro pour WordPress. Il s'agit d'une faille de Server-Side Request Forgery (SSRF) présente dans les versions jusqu'à et incluant la 4.9.3. Cette faille permet à un attaquant authentifié, disposant d'un accès de niveau Administrateur ou supérieur, d'effectuer des requêtes web vers des emplacements arbitraires, ce qui peut compromettre la sécurité du serveur et des services internes.
Un attaquant exploitant cette vulnérabilité SSRF peut initier des requêtes web à partir de l'application web vers des destinations arbitraires. Cela peut permettre l'accès à des informations sensibles stockées sur des services internes, qui ne seraient pas accessibles directement depuis l'extérieur. Dans un environnement de cloud computing, un attaquant pourrait potentiellement lire les métadonnées de l'instance, révélant des informations d'identification et des configurations sensibles. L'exploitation réussie de cette vulnérabilité pourrait conduire à une compromission complète du serveur WordPress et des données associées, voire à un accès à d'autres systèmes connectés au même réseau.
Cette vulnérabilité a été publiée le 17 décembre 2024. Il n'y a pas d'indications d'une exploitation active à ce jour, ni de mention sur le KEV de CISA. Des preuves de concept (PoC) publiques pourraient émerger, augmentant le risque d'exploitation. La vulnérabilité est classée comme de haute sévérité (CVSS 7.6).
WordPress websites utilizing the WP All Import Pro plugin, particularly those running versions prior to 4.9.3, are at risk. Websites hosted on cloud platforms (AWS, Google Cloud, Azure) are especially vulnerable due to the potential for attackers to access cloud metadata. Sites with weak password policies or compromised administrator accounts are also at higher risk.
• wordpress / plugin:
grep -r 'pmxi_curl_download' /var/www/html/wp-content/plugins/wp-all-import-pro/• wordpress / plugin:
wp plugin list | grep 'wp-all-import-pro'• generic web:
curl -I https://your-wordpress-site.com/wp-content/plugins/wp-all-import-pro/ | grep Server• generic web:
curl -I https://your-wordpress-site.com/wp-content/plugins/wp-all-import-pro/ | grep X-Powered-Bydisclosure
Statut de l'Exploit
EPSS
0.30% (percentile 54%)
CISA SSVC
Vecteur CVSS
La mitigation principale consiste à mettre à jour le plugin WP All Import Pro vers une version corrigée. Si la mise à jour n'est pas immédiatement possible, des mesures temporaires peuvent être prises. Il est recommandé de restreindre les autorisations des utilisateurs ayant un accès Administrateur et de surveiller attentivement les journaux du serveur pour détecter toute activité suspecte. L'utilisation d'un pare-feu d'application web (WAF) peut également aider à bloquer les requêtes malveillantes. Après la mise à jour, vérifiez que la fonctionnalité pmxicurldownload est correctement protégée contre les requêtes SSRF en effectuant un test de connexion à une adresse interne non accessible publiquement.
Mettez à jour le plugin WP All Import Pro vers la dernière version disponible. La vulnérabilité SSRF permet à des attaquants authentifiés de faire des requêtes web vers des emplacements arbitraires depuis le serveur, ce qui pourrait compromettre la sécurité de l'application et des services internes. La mise à jour corrige l'absence de protection SSRF dans la fonction pmxi_curl_download.
Analyses de vulnérabilités et alertes critiques directement dans votre boîte mail.
CVE-2024-9624 est une vulnérabilité SSRF dans le plugin WP All Import Pro pour WordPress, permettant à des attaquants d'effectuer des requêtes web arbitraires depuis le serveur.
Vous êtes affecté si vous utilisez WP All Import Pro dans une version inférieure ou égale à 4.9.3.
Mettez à jour WP All Import Pro vers la dernière version disponible. En attendant, restreignez les autorisations des administrateurs et utilisez un WAF.
À l'heure actuelle, il n'y a pas d'indications d'une exploitation active, mais le risque augmente avec la publication de PoC.
Consultez le site web de WP All Import Pro ou le dépôt GitHub du plugin pour obtenir les informations les plus récentes et les correctifs.
Téléverse ton fichier de dépendances et découvre instantanément si cette CVE et d'autres te touchent.
Téléverse ton fichier de dépendances et découvre instantanément si cette CVE et d'autres te touchent.