File Manager Advanced Shortcode <= Meerdere Versies - Geauthenticeerde (Administrator+) Lokale JavaScript Bestand Inclusie via Shortcode

Een succesvolle exploitatie van CVE-2024-13914 kan ernstige gevolgen hebben voor WordPress websites die de File Manager Advanced Shortcode plugin gebruiken. Een geauthenticeerde aanvaller met administratorrechten kan JavaScript bestanden includeren en uitvoeren, waardoor ze potentieel toegang kunnen krijgen tot gevoelige informatie, zoals database credentials, API keys en andere configuratiebestanden. Daarnaast kan de aanvaller code-uitvoering verkrijgen, waardoor ze de controle over de website kunnen overnemen en kwaadaardige acties kunnen uitvoeren, zoals het installeren van malware, het wijzigen van content of het stelen van gebruikersgegevens. Het vermogen om JavaScript bestanden te includeren, zelfs via uploads van afbeeldingen of andere 'veilige' bestandstypen, vergroot de impact van deze kwetsbaarheid aanzienlijk.

WordPress sites utilizing the File Manager Advanced Shortcode plugin, particularly those with administrator accounts that have access to the file management functionality, are at risk. Shared hosting environments where multiple WordPress installations share the same server resources are also at increased risk, as a compromise of one site could potentially lead to the compromise of others.

• wordpress / plugin:

wp plugin list | grep 'File Manager Advanced Shortcode'

• wordpress / plugin: Check the plugin version. If it's <= 2.5.6, the system is vulnerable.

wp plugin list --status=active | grep 'File Manager Advanced Shortcode'

• wordpress / plugin: Examine WordPress logs for suspicious file inclusion attempts involving the 'filemanageradvanced' shortcode.

grep 'file_manager_advanced' /var/log/apache2/error.log

• wordpress / plugin: Review file upload directories for unexpected JavaScript files.

ls -l /path/to/wordpress/wp-content/uploads/

1. 2025-05-15Disclosure

   disclosure

1. Gereserveerd2025-03-01
2. Gepubliceerd2025-05-15
3. Gewijzigd2025-07-01
4. EPSS bijgewerkt2026-04-02

De primaire mitigatie voor CVE-2024-13914 is het updaten van de File Manager Advanced Shortcode plugin naar versie 2.6.0 of hoger. Indien een directe upgrade niet mogelijk is, overweeg dan het tijdelijk uitschakelen van de plugin of het beperken van de toegang tot de 'filemanageradvanced' shortcode. Web Application Firewalls (WAFs) kunnen worden geconfigureerd om verdachte verzoeken die gerelateerd zijn aan het includeren van bestanden te blokkeren. Controleer de WordPress logbestanden op ongebruikelijke activiteit die kan wijzen op een poging tot exploitatie. Na de upgrade, controleer de website op tekenen van ongeautoriseerde toegang of wijzigingen om te bevestigen dat de kwetsbaarheid is verholpen.