प्लेटफ़ॉर्म
wordpress
घटक
ajax-filter-posts
में ठीक किया गया
3.4.13
CVE-2024-11642 Post Grid Master प्लगइन में एक गंभीर फ़ाइल समावेशन भेद्यता है। यह भेद्यता हमलावरों को अनधिकृत फ़ाइलों को शामिल करने और सर्वर पर PHP कोड निष्पादित करने की अनुमति देती है, जिससे संभावित रूप से संवेदनशील डेटा का खुलासा हो सकता है या सर्वर पर नियंत्रण प्राप्त हो सकता है। यह भेद्यता Post Grid Master प्लगइन के संस्करण 3.4.12 और उससे पहले को प्रभावित करती है। प्लगइन को तुरंत अपडेट करके इस भेद्यता को ठीक किया जा सकता है।
यह भेद्यता हमलावरों को सर्वर पर मनमाना PHP कोड निष्पादित करने की अनुमति देती है। इसका मतलब है कि वे संवेदनशील डेटा तक पहुंच प्राप्त कर सकते हैं, जैसे कि डेटाबेस क्रेडेंशियल, उपयोगकर्ता जानकारी, या अन्य गोपनीय डेटा। वे सर्वर पर नियंत्रण भी प्राप्त कर सकते हैं, जिससे वे वेबसाइट को संशोधित कर सकते हैं, मैलवेयर स्थापित कर सकते हैं, या अन्य दुर्भावनापूर्ण गतिविधियां कर सकते हैं। चूंकि यह भेद्यता WordPress प्लगइन में मौजूद है, इसलिए यह उन सभी वेबसाइटों को प्रभावित करती है जो प्लगइन का उपयोग करती हैं। इस भेद्यता का शोषण करने के लिए हमलावरों को केवल प्लगइन तक पहुंच की आवश्यकता होती है, जिसका अर्थ है कि यह व्यापक रूप से शोषण योग्य है। इस भेद्यता का उपयोग वेबसाइट को पूरी तरह से नियंत्रित करने के लिए किया जा सकता है, जिससे गंभीर वित्तीय और प्रतिष्ठा संबंधी नुकसान हो सकता है।
यह भेद्यता सार्वजनिक रूप से ज्ञात है और इसका शोषण करने के लिए सार्वजनिक रूप से उपलब्ध प्रमाण-अवधारणा (PoC) मौजूद हैं। CISA ने इस भेद्यता को अपनी ज्ञात भेद्यता सूची (KEV) में शामिल किया है, जो इसके उच्च जोखिम को दर्शाता है। सक्रिय शोषण अभियान की जानकारी अभी तक उपलब्ध नहीं है, लेकिन भेद्यता की गंभीरता और PoC की उपलब्धता को देखते हुए, शोषण की संभावना अधिक है। NVD ने 2025-01-09 को इस भेद्यता को प्रकाशित किया।
WordPress websites utilizing the Post Grid Master plugin, particularly those running versions 3.4.12 or earlier, are at significant risk. Shared hosting environments are especially vulnerable as they often lack granular access controls, making it easier for attackers to exploit the vulnerability.
• wordpress / composer / npm:
grep -r 'locate_template' /var/www/html/wp-content/plugins/post-grid-master/• generic web:
curl -I https://your-wordpress-site.com/wp-content/plugins/post-grid-master/locate_template.php | grep 'Content-Type:'• wordpress / composer / npm:
wp plugin list --status=all | grep 'Post Grid Master'disclosure
एक्सप्लॉइट स्थिति
EPSS
0.29% (52% शतमक)
CISA SSVC
CVSS वेक्टर
इस भेद्यता को कम करने के लिए, Post Grid Master प्लगइन को नवीनतम संस्करण में तुरंत अपडेट करना महत्वपूर्ण है। यदि अपडेट करना संभव नहीं है, तो एक अस्थायी समाधान के रूप में, फ़ाइल समावेशन को रोकने के लिए वेब एप्लिकेशन फ़ायरवॉल (WAF) का उपयोग किया जा सकता है। WAF को 'locate_template' फ़ंक्शन के माध्यम से फ़ाइल समावेशन प्रयासों को ब्लॉक करने के लिए कॉन्फ़िगर किया जाना चाहिए। इसके अतिरिक्त, सर्वर पर फ़ाइल अनुमतियों को सख्त करना और केवल आवश्यक उपयोगकर्ताओं को ही संवेदनशील फ़ाइलों तक पहुंच देना महत्वपूर्ण है। अपडेट के बाद, यह सुनिश्चित करने के लिए कि भेद्यता ठीक हो गई है, प्लगइन के फ़ंक्शन को टेस्ट करें।
पोस्ट ग्रिड मास्टर प्लगइन को नवीनतम उपलब्ध संस्करण में अपडेट करें। भेद्यता स्थानीय फ़ाइल समावेश की अनुमति देती है, जिससे सर्वर पर मनमाना PHP कोड निष्पादित किया जा सकता है।
भेद्यता विश्लेषण और गंभीर अलर्ट सीधे आपके ईमेल में।
CVE-2024-11642 Post Grid Master प्लगइन में एक फ़ाइल समावेशन भेद्यता है जो हमलावरों को PHP कोड निष्पादित करने की अनुमति देती है।
यदि आप Post Grid Master प्लगइन के संस्करण 3.4.12 या उससे पहले का उपयोग कर रहे हैं, तो आप प्रभावित हैं।
Post Grid Master प्लगइन को नवीनतम संस्करण में तुरंत अपडेट करें।
हालांकि सक्रिय शोषण अभियान की जानकारी अभी तक उपलब्ध नहीं है, लेकिन भेद्यता की गंभीरता और PoC की उपलब्धता को देखते हुए, शोषण की संभावना अधिक है।
आधिकारिक सलाहकार के लिए Post Grid Master वेबसाइट देखें।
अपनी डिपेंडेंसी फ़ाइल अपलोड करें और तुरंत जानें कि यह CVE और अन्य आपको प्रभावित करती हैं या नहीं।
अपनी डिपेंडेंसी फ़ाइल अपलोड करें और तुरंत जानें कि यह CVE और अन्य आपको प्रभावित करती हैं या नहीं।