Platform
wordpress
Component
music-sheet-viewer
Opgelost in
4.1.1
CVE-2024-13671 beschrijft een Arbitrary File Access kwetsbaarheid in de Music Sheet Viewer WordPress plugin. Deze kwetsbaarheid stelt ongeauthenticeerde aanvallers in staat om willekeurige bestanden op de server te lezen, wat kan leiden tot blootstelling van gevoelige informatie. De kwetsbaarheid treft versies van de plugin tot en met 4.1. Een fix is beschikbaar en wordt sterk aangeraden.
Een succesvolle exploitatie van deze kwetsbaarheid kan leiden tot ongeautoriseerde toegang tot gevoelige bestanden op de server waarop de WordPress website draait. Dit kan configuratiebestanden, database credentials, broncode of andere vertrouwelijke gegevens omvatten. De impact kan variëren afhankelijk van de bestanden die toegankelijk zijn, maar kan in ernstige gevallen leiden tot volledige controle over de server. Het is vergelijkbaar met andere Arbitrary File Read kwetsbaarheden waarbij de toegang tot de server wordt verkregen via een onvoldoende beveiligde functie.
Deze kwetsbaarheid is openbaar bekend gemaakt op 30 januari 2025. Er zijn momenteel geen bekende actieve campagnes gericht op deze specifieke kwetsbaarheid, maar de publicatie van een proof-of-concept (POC) is waarschijnlijk. De kwetsbaarheid is opgenomen in het CISA KEV catalogus (KEV status onbekend).
WordPress websites utilizing the Music Sheet Viewer plugin, particularly those running versions prior to 4.1, are at risk. Shared hosting environments are especially vulnerable due to the potential for cross-site contamination and limited control over server file permissions. Sites with sensitive data stored in accessible locations on the server are also at increased risk.
• wordpress / composer / npm:
grep -r 'read_score_file()' /var/www/html/wp-content/plugins/music-sheet-viewer/• generic web:
curl -I http://your-wordpress-site.com/wp-content/plugins/music-sheet-viewer/read_score_file.php?file=/etc/passwd• wordpress / composer / npm:
wp plugin list --status=inactive | grep music-sheet-viewerdisclosure
Exploit Status
EPSS
0.58% (69% percentiel)
CISA SSVC
CVSS-vector
De primaire mitigatie is het upgraden van de Music Sheet Viewer plugin naar een beveiligde versie. Indien een upgrade momenteel niet mogelijk is, kan een tijdelijke workaround bestaan uit het beperken van de toegang tot de server via firewallregels of het configureren van de webserver om de toegang tot gevoelige bestanden te blokkeren. Controleer ook de permissies van bestanden en mappen op de server om te zorgen dat ze niet leesbaar zijn voor de webserver gebruiker. Na de upgrade, controleer de logs op verdachte activiteit.
Actualice el plugin Music Sheet Viewer a la última versión disponible. Esto solucionará la vulnerabilidad de lectura de archivos arbitrarios no autenticada.
Kwetsbaarheidsanalyses en kritieke waarschuwingen direct in uw inbox.
CVE-2024-13671 is a vulnerability in the Music Sheet Viewer WordPress plugin allowing unauthenticated attackers to read arbitrary files on the server. It has a CVSS score of 7.5 (HIGH).
You are affected if you are using Music Sheet Viewer version 4.1 or earlier. Check your plugin versions immediately.
Update the Music Sheet Viewer plugin to the latest version. If immediate upgrade isn't possible, implement a WAF rule to block access to the vulnerable function.
Active exploitation is not currently confirmed, but the vulnerability's simplicity makes it a likely target. Monitor your systems closely.
Check the Music Sheet Viewer plugin page on WordPress.org for updates and security advisories.
Upload je dependency-bestand en kom direct te weten of deze en andere CVEs jou raken.
Upload je dependency-bestand en kom direct te weten of deze en andere CVEs jou raken.