プラットフォーム
wordpress
コンポーネント
ovic-import-demo
修正版
1.6.4
CVE-2024-35754は、Ovic Importerにおいてパス・トラバーサル脆弱性が存在します。この脆弱性を悪用されると、攻撃者は本来アクセスできないファイルを読み取ることが可能となり、機密情報が漏洩するリスクがあります。影響を受けるバージョンは、Ovic Importer 1.6.3以前です。2024年6月10日に公開され、バージョン1.6.4で修正されました。
このパス・トラバーサル脆弱性は、攻撃者がOvic Importerを通じてサーバー上の任意のファイルにアクセスすることを可能にします。例えば、設定ファイルやログファイルから機密情報（データベースのパスワード、APIキーなど）を盗み出すことが考えられます。攻撃者は、この情報を利用してシステムへの更なる侵入を試みる可能性があります。この脆弱性は、WordPress環境でOvic Importerを使用している場合に特に危険です。攻撃者は、WordPressの脆弱性を利用してOvic Importerにアクセスし、パス・トラバーサル攻撃を実行する可能性があります。
CVE-2024-35754は、2024年6月10日に公開されました。現時点では、KEV（CISA Known Exploited Vulnerabilities）には登録されていません。公的なPoC（Proof of Concept）は確認されていませんが、パス・トラバーサル脆弱性は一般的に悪用が容易であるため、注意が必要です。NVD（National Vulnerability Database）にも登録されており、攻撃者による悪用が懸念されます。
WordPress websites utilizing the Ovic Importer plugin, particularly those running older versions (≤1.6.3), are at risk. Shared hosting environments where users have limited control over plugin updates are also particularly vulnerable. Sites with misconfigured file permissions that allow the web server user to access sensitive files are at increased risk.
• wordpress / composer / npm:
grep -r "../" /var/www/html/wp-content/plugins/ovic-importer/• generic web:
curl -I 'https://your-wordpress-site.com/wp-content/plugins/ovic-importer/../../../../etc/passwd' # Check for file accessdisclosure
エクスプロイト状況
EPSS
0.78% (74% パーセンタイル)
CISA SSVC
CVSS ベクトル
この脆弱性への最も効果的な対策は、Ovic Importerをバージョン1.6.4にアップデートすることです。アップデートが困難な場合は、一時的な回避策として、Ovic Importerがアクセスできるディレクトリを制限する設定を検討してください。また、WordPressのセキュリティ設定を見直し、不要なプラグインを削除するなど、WordPress全体のセキュリティを強化することも重要です。WAF（Web Application Firewall）を導入し、パス・トラバーサル攻撃を検知・防御するルールを設定することも有効です。
Actualice el plugin Ovic Importer a la última versión disponible. Si no hay una versión disponible, considere deshabilitar o eliminar el plugin hasta que se publique una versión corregida. Esto evitará la explotación de la vulnerabilidad de Path Traversal.
脆弱性分析と重要アラートをメールでお届けします。
CVE-2024-35754は、Ovic Importerのバージョン1.6.3以下に存在するパス・トラバーサル脆弱性で、攻撃者が本来アクセスできないファイルを読み取ることが可能になります。
Ovic Importerのバージョンが1.6.3以前を使用している場合、この脆弱性の影響を受けます。
Ovic Importerをバージョン1.6.4にアップデートすることで、この脆弱性を修正できます。
現時点では公的なPoCは確認されていませんが、パス・トラバーサル脆弱性は悪用が容易であるため、注意が必要です。
Ovic Importerの公式アドバイザリは、Ovic Teamのウェブサイトで確認できます。
依存関係ファイルをアップロードすれば、このCVEや他のCVEがあなたに影響するか即座にわかります。