プラットフォーム
wordpress
コンポーネント
et-core-plugin
修正版
5.3.9
CVE-2024-33557は、XStore Coreにおいて、パス・トラバーサル脆弱性が確認されています。この脆弱性は、攻撃者が制限されたディレクトリ外のファイルにアクセスすることを可能にし、機密情報の漏洩や悪意のあるコードの実行につながる可能性があります。影響を受けるバージョンはXStore Coreのn/aから5.3.8です。バージョン5.3.9へのアップデートで修正されています。
この脆弱性を悪用されると、攻撃者はXStore CoreがインストールされているWordPress環境内の任意のファイルを読み取ることが可能になります。これにより、設定ファイル、データベースのバックアップ、ソースコードなどの機密情報が漏洩するリスクがあります。さらに、攻撃者はこの脆弱性を利用して、悪意のあるPHPスクリプトをインクルードし、サーバーを完全に制御する可能性があります。この脆弱性は、WordPressサイト全体のセキュリティを脅かす重大なリスクとなります。
この脆弱性は、2024年6月4日に公開されました。現時点では、公開されているPoCは確認されていませんが、パス・トラバーサル脆弱性は悪用が容易であるため、早期の悪用が懸念されます。CISA KEVへの登録状況は確認されていません。NVDデータベースにも登録されています。
Websites using the XStore Core WordPress plugin, particularly those running older versions (≤5.3.8), are at risk. Shared hosting environments where plugin updates are managed by the hosting provider are also vulnerable if they haven't applied the patch. Sites with lax file upload permissions are especially susceptible.
• wordpress / composer / npm:
grep -r "../" /var/www/html/wp-content/plugins/xstore-core/• generic web:
curl -I 'https://your-wordpress-site.com/wp-content/plugins/xstore-core/../../../../etc/passwd' # Check for file disclosuredisclosure
エクスプロイト状況
EPSS
1.66% (82% パーセンタイル)
CISA SSVC
CVSS ベクトル
XStore Coreのバージョンを5.3.9以上にアップデートすることが最も効果的な対策です。アップデートが困難な場合は、WordPressの.htaccessファイルに以下のルールを追加して、ファイルへのアクセスを制限する回避策を検討してください。また、ファイルインクルージョン攻撃を検知するためのWAF（Web Application Firewall）のルールを導入することも有効です。アップデート後、XStore Coreのファイルアクセス権限を確認し、不要なファイルへのアクセスを制限してください。
Actualice el plugin XStore Core a la última versión disponible. La vulnerabilidad de inclusión de archivos locales (LFI) se corrige en versiones posteriores a la 5.3.8. Para actualizar, vaya al panel de administración de WordPress, luego a la sección de plugins y busque XStore Core. Si hay una actualización disponible, instálela inmediatamente.
脆弱性分析と重要アラートをメールでお届けします。
CVE-2024-33557は、XStore Coreのバージョン5.3.8以下において、攻撃者が制限されたディレクトリ外のファイルにアクセスできるパス・トラバーサル脆弱性です。
はい、XStore Coreのバージョンが5.3.8以下の場合、この脆弱性の影響を受けます。バージョン5.3.9へのアップデートが必要です。
XStore Coreをバージョン5.3.9以上にアップデートしてください。アップデートが困難な場合は、.htaccessファイルでアクセス制限を試みてください。
現時点では公開PoCは確認されていませんが、パス・トラバーサル脆弱性は悪用が容易であるため、早期の悪用が懸念されます。
XStore Coreの公式ウェブサイトまたはWordPressプラグインディレクトリでアドバイザリをご確認ください。
依存関係ファイルをアップロードすれば、このCVEや他のCVEがあなたに影響するか即座にわかります。