प्लेटफ़ॉर्म
wordpress
घटक
wp-all-import-pro
में ठीक किया गया
4.9.4
CVE-2024-9624 WP All Import Pro प्लगइन में एक गंभीर भेद्यता है, जो सर्वर-साइड रिक्वेस्ट फोर्जरी (SSRF) का कारण बनती है। यह भेद्यता हमलावरों को वेब एप्लिकेशन से उत्पन्न होने वाले मनमाने वेब अनुरोध करने की अनुमति देती है, जिससे आंतरिक सेवाओं से जानकारी प्राप्त करना संभव हो जाता है। यह भेद्यता WP All Import Pro के संस्करणों में मौजूद है जो 4.9.3 से कम या बराबर हैं। इस समस्या को हल करने के लिए, प्लगइन को नवीनतम संस्करण में अपडेट करना आवश्यक है।
SSRF भेद्यता का शोषण करने वाला एक हमलावर आंतरिक सेवाओं तक पहुंच प्राप्त कर सकता है जो आमतौर पर बाहरी दुनिया के लिए उजागर नहीं होती हैं। उदाहरण के लिए, क्लाउड वातावरण में, हमलावर उदाहरण मेटाडेटा पढ़ सकता है, जिससे संवेदनशील जानकारी उजागर हो सकती है। हमलावर आंतरिक नेटवर्क पर स्कैनिंग भी कर सकता है, कमजोरियों की पहचान कर सकता है, और आगे के हमलों को लॉन्च कर सकता है। इस भेद्यता का उपयोग डेटा चोरी, सिस्टम समझौता और अन्य दुर्भावनापूर्ण गतिविधियों के लिए किया जा सकता है। यह भेद्यता विशेष रूप से उन वातावरणों में चिंताजनक है जहां WP All Import Pro प्लगइन का उपयोग महत्वपूर्ण डेटा को आयात करने के लिए किया जाता है।
CVE-2024-9624 को अभी तक सक्रिय रूप से शोषण करने के प्रमाण नहीं मिले हैं, लेकिन SSRF भेद्यता की प्रकृति के कारण, इसका शोषण किया जा सकता है। यह भेद्यता KEV (Know Exploited Vulnerabilities) सूची में शामिल नहीं है। सार्वजनिक रूप से उपलब्ध प्रूफ-ऑफ-कॉन्सेप्ट (PoC) मौजूद नहीं हैं, लेकिन भेद्यता का शोषण करने के लिए आसानी से विकसित किया जा सकता है। NVD (National Vulnerability Database) और CISA (Cybersecurity and Infrastructure Security Agency) ने इस CVE के लिए अलर्ट जारी किए हैं।
WordPress websites utilizing the WP All Import Pro plugin, particularly those running versions prior to 4.9.3, are at risk. Websites hosted on cloud platforms (AWS, Google Cloud, Azure) are especially vulnerable due to the potential for attackers to access cloud metadata. Sites with weak password policies or compromised administrator accounts are also at higher risk.
• wordpress / plugin:
grep -r 'pmxi_curl_download' /var/www/html/wp-content/plugins/wp-all-import-pro/• wordpress / plugin:
wp plugin list | grep 'wp-all-import-pro'• generic web:
curl -I https://your-wordpress-site.com/wp-content/plugins/wp-all-import-pro/ | grep Server• generic web:
curl -I https://your-wordpress-site.com/wp-content/plugins/wp-all-import-pro/ | grep X-Powered-Bydisclosure
एक्सप्लॉइट स्थिति
EPSS
0.30% (54% शतमक)
CISA SSVC
CVSS वेक्टर
CVE-2024-9624 को कम करने के लिए, WP All Import Pro प्लगइन को तुरंत संस्करण 4.9.4 या बाद के संस्करण में अपडेट करें। यदि अपडेट करना संभव नहीं है, तो एक अस्थायी समाधान के रूप में, वेब एप्लिकेशन फ़ायरवॉल (WAF) को कॉन्फ़िगर करें ताकि SSRF हमलों को ब्लॉक किया जा सके। WAF नियमों को pmxicurldownload फ़ंक्शन के माध्यम से किए गए बाहरी अनुरोधों को सीमित करने के लिए डिज़ाइन किया जाना चाहिए। इसके अतिरिक्त, आंतरिक सेवाओं तक पहुंच को सीमित करने के लिए नेटवर्क सुरक्षा नीतियों को लागू करें। अपडेट के बाद, यह सुनिश्चित करने के लिए कि भेद्यता का समाधान हो गया है, प्लगइन के फ़ंक्शन को टेस्ट करें।
WP All Import Pro प्लगइन को नवीनतम उपलब्ध संस्करण में अपडेट करें। SSRF भेद्यता प्रमाणित हमलावरों को सर्वर से मनमाने स्थानों पर वेब अनुरोध करने की अनुमति देती है, जिससे एप्लिकेशन और आंतरिक सेवाओं की सुरक्षा से समझौता हो सकता है। अपडेट pmxi_curl_download फ़ंक्शन में SSRF सुरक्षा की कमी को ठीक करता है।
भेद्यता विश्लेषण और गंभीर अलर्ट सीधे आपके ईमेल में।
CVE-2024-9624 WP All Import Pro प्लगइन में एक सर्वर-साइड रिक्वेस्ट फोर्जरी (SSRF) भेद्यता है जो हमलावरों को आंतरिक सेवाओं से जानकारी प्राप्त करने की अनुमति देती है।
यदि आप WP All Import Pro के संस्करण 4.9.3 या उससे कम का उपयोग कर रहे हैं, तो आप इस भेद्यता से प्रभावित हैं।
WP All Import Pro प्लगइन को संस्करण 4.9.4 या बाद के संस्करण में अपडेट करें।
अभी तक सक्रिय शोषण के प्रमाण नहीं हैं, लेकिन भेद्यता का शोषण किया जा सकता है।
WP All Import Pro वेबसाइट पर एडवाइजरी की जांच करें।
अपनी डिपेंडेंसी फ़ाइल अपलोड करें और तुरंत जानें कि यह CVE और अन्य आपको प्रभावित करती हैं या नहीं।
अपनी डिपेंडेंसी फ़ाइल अपलोड करें और तुरंत जानें कि यह CVE और अन्य आपको प्रभावित करती हैं या नहीं।