WordPress XforWooCommerce प्लगइन <= 2.0.2 - प्रमाणित स्थानीय फ़ाइल समावेशन (Authenticated Local File Inclusion) भेद्यता

यह पथ पारगमन भेद्यता हमलावरों को सर्वर पर मनमाने ढंग से फ़ाइलों को पढ़ने की अनुमति देती है। एक हमलावर इस भेद्यता का उपयोग संवेदनशील जानकारी, जैसे कॉन्फ़िगरेशन फ़ाइलें या डेटाबेस क्रेडेंशियल तक पहुंचने के लिए कर सकता है। इसके अतिरिक्त, एक हमलावर इस भेद्यता का उपयोग PHP लोकल फ़ाइल समावेशन (LFI) का शोषण करने और सर्वर पर मनमाना कोड निष्पादित करने के लिए कर सकता है, जिससे सिस्टम पर पूर्ण नियंत्रण हो सकता है। इस भेद्यता का उपयोग करके, हमलावर डेटा चोरी कर सकता है, सिस्टम को दूषित कर सकता है या अन्य दुर्भावनापूर्ण गतिविधियाँ कर सकता है।

WordPress websites utilizing the XforWooCommerce plugin, particularly those running versions prior to 2.0.3, are at risk. Shared hosting environments where plugin updates are not managed centrally are especially vulnerable, as are websites with misconfigured file permissions that could exacerbate the impact of a successful exploit.

• wordpress / composer / npm:

grep -r "../" /var/www/html/wp-content/plugins/xforwoocommerce/*

• generic web:

curl -I http://your-wordpress-site.com/wp-content/plugins/xforwoocommerce/path/to/file../sensitive_file.php

1. 2024-06-04Disclosure

   disclosure

1. आरक्षित2024-04-25
2. प्रकाशित2024-06-04
3. संशोधित2024-08-02
4. EPSS अद्यतन2026-04-02

CVE-2024-33628 के प्रभाव को कम करने के लिए, XforWooCommerce प्लगइन को तुरंत संस्करण 2.0.3 में अपग्रेड करना महत्वपूर्ण है। यदि अपग्रेड संभव नहीं है, तो एक अस्थायी समाधान के रूप में, वेब एप्लिकेशन फ़ायरवॉल (WAF) का उपयोग करके पथ पारगमन हमलों को ब्लॉक किया जा सकता है। इसके अतिरिक्त, फ़ाइल अनुमतियों को सख्त करके और अनावश्यक फ़ाइलों को हटाकर सर्वर की सुरक्षा को मजबूत किया जा सकता है। सुनिश्चित करें कि सभी फ़ाइलें उचित रूप से सुरक्षित हैं और केवल अधिकृत उपयोगकर्ताओं द्वारा ही एक्सेस की जा सकती हैं। अपग्रेड के बाद, यह सत्यापित करें कि भेद्यता ठीक हो गई है और कोई अनधिकृत फ़ाइल एक्सेस नहीं हो रहा है।