डेटाबेस बैकअप और चेक टेबल ऑटोमेटेड विद शेड्यूलर 2024 <= 2.36 - प्रमाणित (एडमिनिस्ट्रेटर+) मनमाना फ़ाइल विलोपन

यह भेद्यता हमलावरों को सर्वर पर मनमाने ढंग से फ़ाइलों को हटाने की अनुमति देती है, जिससे गंभीर परिणाम हो सकते हैं। उदाहरण के लिए, यदि हमलावर wp-config.php फ़ाइल को हटा देता है, तो वे सर्वर पर रिमोट कोड निष्पादित कर सकते हैं। यह हमलावर को वेबसाइट के डेटा तक पहुंचने, उसे संशोधित करने या हटाने की अनुमति दे सकता है। इसके अतिरिक्त, हमलावर वेबसाइट का उपयोग अन्य सिस्टम पर हमला करने के लिए कर सकता है। इस भेद्यता का प्रभाव व्यापक हो सकता है, क्योंकि यह वेबसाइट के सभी उपयोगकर्ताओं को प्रभावित कर सकता है। इस भेद्यता का शोषण करने के लिए, हमलावर को प्लगइन के 'databasebackupajax_delete' फ़ंक्शन में फ़ाइल पथ सत्यापन में कमी का फायदा उठाना होगा।

WordPress websites utilizing the Database Backup and check Tables Automated With Scheduler plugin, particularly those with shared hosting environments where file permissions may be less restrictive, are at risk. Legacy WordPress installations with outdated plugins and inadequate security practices are also particularly vulnerable.

• wordpress / plugin: Use wp-cli plugin list to identify installations of the Database Backup and check Tables Automated With Scheduler plugin. Check the version number to determine if it is vulnerable.

wp plugin list --status=all | grep 'Database Backup and check Tables Automated With Scheduler'

• wordpress / plugin: Examine plugin files for the databasebackupajax_delete function and any related file path validation logic. Look for instances where user-supplied input is directly used to construct file paths without proper sanitization. • generic web: Monitor web server access logs for requests to the databasebackupajax_delete endpoint, particularly those originating from unusual IP addresses or user agents. Look for patterns indicative of file deletion attempts. • wordpress / composer / npm: While this plugin doesn't use Composer or npm, ensure other plugins are regularly audited for vulnerabilities using composer audit or npm audit.

1. 2025-03-01Disclosure

   disclosure

1. आरक्षित2025-02-25
2. प्रकाशित2025-03-01
3. संशोधित2025-03-03
4. EPSS अद्यतन2026-04-02

CVE-2024-13910 को कम करने के लिए, तुरंत Database Backup and check Tables Automated With Scheduler 2024 को संस्करण 2.36 में अपग्रेड करें। यदि अपग्रेड संभव नहीं है, तो एक वेब एप्लिकेशन फ़ायरवॉल (WAF) का उपयोग करें जो मनमाने फ़ाइल एक्सेस प्रयासों को ब्लॉक कर सके। इसके अतिरिक्त, प्लगइन के फ़ाइल पथ सत्यापन को मजबूत करने के लिए कॉन्फ़िगरेशन वर्कअराउंड लागू करें। फ़ाइलों को हटाने से रोकने के लिए, फ़ाइल एक्सेस अनुमतियों को सीमित करें। अपग्रेड के बाद, यह सुनिश्चित करने के लिए कि भेद्यता ठीक हो गई है, प्लगइन के फ़ंक्शन को मैन्युअल रूप से जांचें।