Platform
wordpress
Component
et-core-plugin
Opgelost in
5.3.9
CVE-2024-33557 beschrijft een Path Traversal kwetsbaarheid in de XStore Core plugin voor WordPress. Deze kwetsbaarheid stelt een aanvaller in staat om PHP Local File Inclusion uit te voeren, wat kan leiden tot ongeautoriseerde toegang tot gevoelige bestanden en potentieel code-uitvoering op de server. De kwetsbaarheid treft versies van XStore Core van n/a tot en met 5.3.8. Een patch is beschikbaar in versie 5.3.9.
De Path Traversal kwetsbaarheid in XStore Core maakt het mogelijk voor een aanvaller om bestanden buiten de toegestane directory te benaderen. Door middel van PHP Local File Inclusion kan de aanvaller een willekeurig bestand op de server in de PHP-processen opnemen. Dit kan leiden tot het uitlezen van configuratiebestanden, database credentials, of zelfs het uitvoeren van willekeurige code. De impact is significant, aangezien een succesvolle exploit kan resulteren in volledige controle over de WordPress-site en de onderliggende server. Een aanvaller kan bijvoorbeeld toegang krijgen tot gevoelige data, de website defacen, of de server gebruiken als springplank voor aanvallen op andere systemen binnen het netwerk.
Op dit moment (2024-06-04) is er geen publieke exploit beschikbaar voor CVE-2024-33557. De kwetsbaarheid is recentelijk openbaar gemaakt en is opgenomen in het NVD (National Vulnerability Database). De EPSS score is nog niet bekend, maar gezien de ernst van de kwetsbaarheid (Path Traversal met PHP Local File Inclusion) is een medium tot hoge waarschijnlijkheid van exploitatie te verwachten. Het is raadzaam om de plugin zo snel mogelijk te patchen.
Websites using the XStore Core WordPress plugin, particularly those running older versions (≤5.3.8), are at risk. Shared hosting environments where plugin updates are managed by the hosting provider are also vulnerable if they haven't applied the patch. Sites with lax file upload permissions are especially susceptible.
• wordpress / composer / npm:
grep -r "../" /var/www/html/wp-content/plugins/xstore-core/• generic web:
curl -I 'https://your-wordpress-site.com/wp-content/plugins/xstore-core/../../../../etc/passwd' # Check for file disclosuredisclosure
Exploit Status
EPSS
1.66% (82% percentiel)
CISA SSVC
CVSS-vector
De primaire mitigatie voor CVE-2024-33557 is het updaten van de XStore Core plugin naar versie 5.3.9 of hoger. Indien een directe upgrade niet mogelijk is, overweeg dan tijdelijke maatregelen zoals het beperken van de rechten van de webservergebruiker of het implementeren van een Web Application Firewall (WAF) met regels om path traversal pogingen te blokkeren. Controleer ook de WordPress-configuratie op onnodige bestandsrechten en zorg ervoor dat alle WordPress-plugins en thema's up-to-date zijn. Na de upgrade, controleer de serverlogs op verdachte activiteiten en verifieer dat de kwetsbaarheid is verholpen door te proberen de kwetsbare endpoint te benaderen.
Actualice el plugin XStore Core a la última versión disponible. La vulnerabilidad de inclusión de archivos locales (LFI) se corrige en versiones posteriores a la 5.3.8. Para actualizar, vaya al panel de administración de WordPress, luego a la sección de plugins y busque XStore Core. Si hay una actualización disponible, instálela inmediatamente.
Kwetsbaarheidsanalyses en kritieke waarschuwingen direct in uw inbox.
CVE-2024-33557 is a Path Traversal vulnerability affecting the XStore Core WordPress plugin, allowing attackers to potentially include arbitrary files on the server.
Yes, if you are using XStore Core version 5.3.8 or earlier, you are vulnerable to this Path Traversal flaw.
Upgrade the XStore Core plugin to version 5.3.9 or later to resolve the vulnerability. Consider WAF rules as a temporary mitigation.
While no widespread exploitation has been confirmed, the ease of exploitation suggests a potential for rapid exploitation. Monitor your WordPress site closely.
Refer to the official XStore Core website and WordPress plugin repository for the latest advisory and update information.
Upload je dependency-bestand en kom direct te weten of deze en andere CVEs jou raken.
Upload je dependency-bestand en kom direct te weten of deze en andere CVEs jou raken.