WordPress DigiPass प्लगइन <= 0.3.0 - मनमाना फ़ाइल डाउनलोड भेद्यता
प्लेटफ़ॉर्म
wordpress
घटक
digipass
में ठीक किया गया
0.3.1
CVE-2024-52378 Labs64 DigiPass में एक पथ पारगमन भेद्यता है, जो हमलावरों को अनधिकृत फ़ाइलों तक पहुंचने की अनुमति देती है। यह भेद्यता DigiPass के संस्करणों में मौजूद है जो 0.3.0 से कम या बराबर हैं। Labs64 ने इस समस्या को 0.3.1 संस्करण में ठीक कर दिया है। इस भेद्यता का फायदा उठाकर हमलावर संवेदनशील डेटा तक पहुंच प्राप्त कर सकते हैं।
इस CVE को अपने प्रोजेक्ट में पहचानें
अपनी डिपेंडेंसी फ़ाइल अपलोड करें और तुरंत जानें कि यह CVE और अन्य आपको प्रभावित करती हैं या नहीं।
प्रभाव और हमले की स्थितियाँ
यह भेद्यता हमलावरों को सर्वर पर मनमाने ढंग से फ़ाइलों को पढ़ने की अनुमति देती है, संभावित रूप से संवेदनशील डेटा जैसे कॉन्फ़िगरेशन फ़ाइलें, पासवर्ड या अन्य गोपनीय जानकारी उजागर करती है। हमलावर इस भेद्यता का उपयोग सर्वर पर आगे की दुर्भावनापूर्ण गतिविधियों को करने के लिए भी कर सकते हैं, जैसे कि वेबशेल अपलोड करना या अन्य भेद्यताओं का शोषण करना। चूंकि यह एक पथ पारगमन भेद्यता है, इसलिए इसका प्रभाव व्यापक हो सकता है, जिससे सर्वर की सुरक्षा से समझौता हो सकता है।
शोषण संदर्भ
यह भेद्यता सार्वजनिक रूप से ज्ञात है और इसका शोषण करने के लिए सार्वजनिक रूप से उपलब्ध प्रूफ-ऑफ-कॉन्सेप्ट (PoC) मौजूद हो सकते हैं। CISA ने अभी तक इस भेद्यता को KEV में शामिल नहीं किया है, लेकिन इसका उच्च CVSS स्कोर इंगित करता है कि इसका सक्रिय रूप से शोषण किए जाने की संभावना है। NVD में 2024-11-14 को प्रकाशित किया गया।
कौन जोखिम में हैअनुवाद हो रहा है…
WordPress websites utilizing the DigiPass plugin, particularly those running versions prior to 0.3.0, are at risk. Shared hosting environments where multiple websites share the same server resources are especially vulnerable, as a compromise of one site could potentially expose files on other sites.
पहचान के चरणअनुवाद हो रहा है…
• wordpress / composer / npm:
grep -r '../' /var/www/html/wp-content/plugins/digipass/*• generic web:
curl -I 'http://your-wordpress-site.com/wp-content/plugins/digipass/../../../../etc/passwd' # Check for file disclosureहमले की समयरेखा
- Disclosure
disclosure
खतरा खुफिया
एक्सप्लॉइट स्थिति
EPSS
0.22% (44% शतमक)
CISA SSVC
CVSS वेक्टर
इन मेट्रिक्स का क्या मतलब है?
- Attack Vector
- नेटवर्क — इंटरनेट के माध्यम से दूरस्थ रूप से शोषण योग्य। कोई भौतिक या स्थानीय पहुंच आवश्यक नहीं।
- Attack Complexity
- निम्न — कोई विशेष शर्त नहीं। विश्वसनीय रूप से शोषण योग्य।
- Privileges Required
- कोई नहीं — बिना प्रमाणीकरण के शोषण योग्य।
- User Interaction
- कोई नहीं — स्वचालित और मूक हमला। पीड़ित कुछ नहीं करता।
- Scope
- अपरिवर्तित — प्रभाव केवल कमज़ोर घटक तक सीमित।
- Confidentiality
- उच्च — पूर्ण गोपनीयता हानि। हमलावर सभी डेटा पढ़ सकता है।
- Integrity
- कोई नहीं — अखंडता पर कोई प्रभाव नहीं।
- Availability
- कोई नहीं — उपलब्धता पर कोई प्रभाव नहीं।
प्रभावित सॉफ्टवेयर
कमजोरी वर्गीकरण (CWE)
समयरेखा
- आरक्षित
- प्रकाशित
- संशोधित
- EPSS अद्यतन
शमन और वर्कअराउंड
DigiPass को तुरंत संस्करण 0.3.1 में अपडेट करें। यदि अपडेट करना संभव नहीं है, तो एक वेब एप्लिकेशन फ़ायरवॉल (WAF) का उपयोग करें जो पथ पारगमन हमलों को ब्लॉक कर सके। फ़ाइल सिस्टम अनुमतियों को सख्त करें ताकि DigiPass प्रक्रिया केवल उन फ़ाइलों तक पहुंच सके जिनकी उसे आवश्यकता है। इनपुट सत्यापन और आउटपुट एन्कोडिंग लागू करें ताकि यह सुनिश्चित किया जा सके कि उपयोगकर्ता द्वारा प्रदान किए गए इनपुट को ठीक से संसाधित किया जा रहा है।
कैसे ठीक करेंअनुवाद हो रहा है…
Actualice el plugin DigiPass a una versión posterior a la 0.3.0. Esto solucionará la vulnerabilidad de descarga arbitraria de archivos. Si no hay una versión disponible, considere deshabilitar el plugin hasta que se publique una actualización.
CVE सुरक्षा न्यूज़लेटर
भेद्यता विश्लेषण और गंभीर अलर्ट सीधे आपके ईमेल में।
अक्सर पूछे जाने वाले सवाल
CVE-2024-52378 — पथ पारगमन भेद्यता DigiPass में क्या है?
CVE-2024-52378 Labs64 DigiPass में एक पथ पारगमन भेद्यता है जो हमलावरों को अनधिकृत फ़ाइलों तक पहुंचने की अनुमति देती है।
क्या मैं CVE-2024-52378 से DigiPass में प्रभावित हूं?
यदि आप DigiPass के संस्करण 0.3.0 या उससे कम का उपयोग कर रहे हैं, तो आप इस भेद्यता से प्रभावित हैं।
मैं CVE-2024-52378 से DigiPass को कैसे ठीक करूं?
DigiPass को तुरंत संस्करण 0.3.1 में अपडेट करें।
क्या CVE-2024-52378 सक्रिय रूप से शोषण किया जा रहा है?
CISA ने अभी तक इस भेद्यता को KEV में शामिल नहीं किया है, लेकिन इसका उच्च CVSS स्कोर इंगित करता है कि इसका सक्रिय रूप से शोषण किए जाने की संभावना है।
मैं CVE-2024-52378 के लिए आधिकारिक DigiPass सलाहकार कहां पा सकता हूं?
Labs64 की वेबसाइट पर आधिकारिक सलाहकार देखें: [Labs64 advisory link - replace with actual link]
क्या आपका प्रोजेक्ट प्रभावित है?
अपनी डिपेंडेंसी फ़ाइल अपलोड करें और तुरंत जानें कि यह CVE और अन्य आपको प्रभावित करती हैं या नहीं।