Ultimate Video Player <= 10.0 - Niet-geauthenticeerde Willekeurige Bestandsdownload

Een succesvolle exploitatie van CVE-2024-10804 kan aanzienlijke gevolgen hebben. Een aanvaller kan toegang krijgen tot configuratiebestanden, database credentials, broncode en andere gevoelige gegevens die op de server zijn opgeslagen. Dit kan leiden tot verdere compromittering van het systeem, zoals het verkrijgen van controle over de WordPress-installatie, het uitvoeren van schadelijke code of het stelen van gebruikersgegevens. De impact is vergelijkbaar met andere directory traversal kwetsbaarheden die toegang tot kritieke systeembestanden mogelijk maken.

Websites utilizing the Ultimate Video Player plugin, particularly those running older versions (≤10.0), are at risk. Shared hosting environments are especially vulnerable as they often have limited control over file permissions and server configurations. WordPress sites with sensitive data stored on the same server are also at increased risk.

• wordpress / composer / npm:

grep -r 'content/downloader.php' /var/www/html/

• generic web:

curl -I https://your-wordpress-site.com/content/downloader.php | grep -i 'content-type'

• wordpress / composer / npm:

wp plugin list | grep "Ultimate Video Player"

1. 2025-03-07Disclosure

   disclosure

1. Gereserveerd2024-11-04
2. Gepubliceerd2025-03-07
3. EPSS bijgewerkt2026-04-02

De primaire mitigatie voor CVE-2024-10804 is het upgraden van de Ultimate Video Player WordPress plugin naar de meest recente beveiligde versie. Indien een directe upgrade niet mogelijk is, overweeg dan tijdelijke maatregelen zoals het beperken van de toegang tot de content/downloader.php file via een Web Application Firewall (WAF) of door de permissies van de file te wijzigen. Controleer ook de WordPress-installatie op verdachte bestanden of wijzigingen die kunnen wijzen op een succesvolle exploitatie. Na de upgrade, controleer de serverlogs op ongebruikelijke activiteit.