WordPress Analyse Uploads प्लगइन <= 0.5 - मनमाना फ़ाइल विलोपन भेद्यता
प्लेटफ़ॉर्म
wordpress
घटक
analyse-uploads
में ठीक किया गया
0.5.1
CVE-2024-49253 James Park Analyse Uploads में एक रिलेटिव पाथ ट्रावर्सल भेद्यता है। यह भेद्यता हमलावरों को अनधिकृत फ़ाइलों तक पहुंचने की अनुमति देती है, जिससे संभावित रूप से संवेदनशील डेटा का खुलासा हो सकता है या सिस्टम पर नियंत्रण प्राप्त हो सकता है। यह भेद्यता Analyse Uploads के संस्करणों ≤0.5 को प्रभावित करती है। संस्करण 0.5.1 में इस समस्या का समाधान किया गया है।
इस CVE को अपने प्रोजेक्ट में पहचानें
अपनी डिपेंडेंसी फ़ाइल अपलोड करें और तुरंत जानें कि यह CVE और अन्य आपको प्रभावित करती हैं या नहीं।
प्रभाव और हमले की स्थितियाँ
यह भेद्यता हमलावरों को सर्वर पर मनमाने ढंग से फ़ाइलों तक पहुंचने की अनुमति देती है, जो सिस्टम की सुरक्षा को गंभीर रूप से खतरे में डाल सकती है। हमलावर संवेदनशील डेटा जैसे कॉन्फ़िगरेशन फ़ाइलें, पासवर्ड या अन्य गोपनीय जानकारी प्राप्त कर सकते हैं। इसके अतिरिक्त, वे सिस्टम पर कोड निष्पादित करने या अन्य दुर्भावनापूर्ण गतिविधियाँ करने के लिए इस भेद्यता का उपयोग कर सकते हैं। यह भेद्यता विशेष रूप से साझा होस्टिंग वातावरण में खतरनाक हो सकती है, जहां कई वेबसाइटें एक ही सर्वर पर होस्ट की जाती हैं।
शोषण संदर्भ
CVE-2024-49253 को अभी तक CISA KEV में शामिल नहीं किया गया है। EPSS स्कोर उपलब्ध नहीं है। सार्वजनिक रूप से उपलब्ध प्रूफ-ऑफ-कांसेप्ट (POC) अभी तक ज्ञात नहीं हैं, लेकिन भेद्यता की प्रकृति के कारण, इसका शोषण किया जा सकता है। यह भेद्यता 2024-10-16 को प्रकाशित हुई थी।
कौन जोखिम में हैअनुवाद हो रहा है…
WordPress websites utilizing the Analyse Uploads plugin, particularly those running older versions (≤0.5), are at risk. Shared hosting environments where multiple websites share the same server resources are especially vulnerable, as a compromise of one site could potentially expose files on other sites.
पहचान के चरणअनुवाद हो रहा है…
• wordpress / composer / npm:
grep -r "../" /var/www/html/wp-content/plugins/analyse-uploads/• generic web:
curl -I http://your-wordpress-site.com/wp-content/uploads/../../../../etc/passwd | head -n 1हमले की समयरेखा
- Disclosure
disclosure
खतरा खुफिया
एक्सप्लॉइट स्थिति
EPSS
0.29% (53% शतमक)
CISA SSVC
CVSS वेक्टर
इन मेट्रिक्स का क्या मतलब है?
- Attack Vector
- नेटवर्क — इंटरनेट के माध्यम से दूरस्थ रूप से शोषण योग्य। कोई भौतिक या स्थानीय पहुंच आवश्यक नहीं।
- Attack Complexity
- निम्न — कोई विशेष शर्त नहीं। विश्वसनीय रूप से शोषण योग्य।
- Privileges Required
- कोई नहीं — बिना प्रमाणीकरण के शोषण योग्य।
- User Interaction
- कोई नहीं — स्वचालित और मूक हमला। पीड़ित कुछ नहीं करता।
- Scope
- बदला हुआ — हमला कमज़ोर घटक से परे अन्य प्रणालियों तक फैल सकता है।
- Confidentiality
- कोई नहीं — गोपनीयता पर कोई प्रभाव नहीं।
- Integrity
- कोई नहीं — अखंडता पर कोई प्रभाव नहीं।
- Availability
- उच्च — पूर्ण क्रैश या संसाधन समाप्ति। पूर्ण सेवा से इनकार।
प्रभावित सॉफ्टवेयर
कमजोरी वर्गीकरण (CWE)
समयरेखा
- आरक्षित
- प्रकाशित
- EPSS अद्यतन
शमन और वर्कअराउंड
सबसे प्रभावी शमन उपाय Analyse Uploads को संस्करण 0.5.1 में अपडेट करना है। यदि अपडेट करना संभव नहीं है, तो एक अस्थायी समाधान के रूप में, वेब एप्लिकेशन फ़ायरवॉल (WAF) या प्रॉक्सी का उपयोग करके अनधिकृत फ़ाइल एक्सेस को रोकने के लिए नियम कॉन्फ़िगर किए जा सकते हैं। इसके अतिरिक्त, फ़ाइल अपलोड प्रक्रिया में इनपुट सत्यापन को मजबूत करना और सर्वर पर फ़ाइल एक्सेस अनुमतियों को सीमित करना भेद्यता के जोखिम को कम करने में मदद कर सकता है।
कैसे ठीक करेंअनुवाद हो रहा है…
Actualice el plugin Analyse Uploads a la última versión disponible. Si no hay una versión disponible, considere desinstalar el plugin hasta que se publique una versión corregida. Esto evitará la eliminación arbitraria de archivos en su servidor.
CVE सुरक्षा न्यूज़लेटर
भेद्यता विश्लेषण और गंभीर अलर्ट सीधे आपके ईमेल में।
अक्सर पूछे जाने वाले सवाल
CVE-2024-49253 — रिलेटिव पाथ ट्रावर्सल Analyse Uploads में क्या है?
CVE-2024-49253 James Park Analyse Uploads में एक रिलेटिव पाथ ट्रावर्सल भेद्यता है जो हमलावरों को अनधिकृत फ़ाइलों तक पहुंचने की अनुमति देती है।
क्या मैं CVE-2024-49253 में Analyse Uploads से प्रभावित हूं?
यदि आप Analyse Uploads के संस्करण ≤0.5 का उपयोग कर रहे हैं, तो आप इस भेद्यता से प्रभावित हैं।
मैं CVE-2024-49253 में Analyse Uploads को कैसे ठीक करूं?
Analyse Uploads को संस्करण 0.5.1 में अपडेट करें। यदि अपडेट करना संभव नहीं है, तो WAF नियमों का उपयोग करें या फ़ाइल एक्सेस अनुमतियों को सीमित करें।
क्या CVE-2024-49253 सक्रिय रूप से शोषण किया जा रहा है?
हालांकि सार्वजनिक POC ज्ञात नहीं हैं, भेद्यता की प्रकृति के कारण, इसका शोषण किया जा सकता है।
मैं CVE-2024-49253 के लिए आधिकारिक Analyse Uploads एडवाइजरी कहां पा सकता हूं?
आधिकारिक एडवाइजरी के लिए James Park की वेबसाइट या संबंधित सुरक्षा चैनलों की जांच करें।
क्या आपका प्रोजेक्ट प्रभावित है?
अपनी डिपेंडेंसी फ़ाइल अपलोड करें और तुरंत जानें कि यह CVE और अन्य आपको प्रभावित करती हैं या नहीं।