Platform
wordpress
Component
ovic-import-demo
Opgelost in
1.6.4
CVE-2024-35754 beschrijft een 'Path Traversal' kwetsbaarheid in de Ovic Importer plugin voor WordPress. Deze kwetsbaarheid stelt een aanvaller in staat om willekeurige bestanden op de server te benaderen, wat kan leiden tot data-exfiltratie of zelfs code-uitvoering. De kwetsbaarheid treft versies van Ovic Importer tot en met 1.6.3. Een fix is beschikbaar in versie 1.6.4.
Een succesvolle exploitatie van deze kwetsbaarheid kan ernstige gevolgen hebben. Een aanvaller kan gevoelige configuratiebestanden, broncode of andere kritieke data van de server ophalen. Afhankelijk van de bestanden die toegankelijk zijn, kan de aanvaller ook code uitvoeren op de server, waardoor de volledige WordPress-installatie gecompromitteerd kan worden. Dit is vergelijkbaar met eerdere path traversal kwetsbaarheden waarbij gevoelige informatie werd blootgesteld. De impact is aanzienlijk, vooral op websites die gevoelige data opslaan of verwerken.
Deze kwetsbaarheid is openbaar bekend gemaakt op 2024-06-10. Er zijn momenteel geen publieke proof-of-concept exploits bekend, maar de path traversal aard van de kwetsbaarheid maakt het relatief eenvoudig te exploiteren. De EPSS score is waarschijnlijk medium, gezien de openbare bekendmaking en de relatieve eenvoud van exploitatie. Het is aan te raden om deze kwetsbaarheid prioriteit te geven.
WordPress websites utilizing the Ovic Importer plugin, particularly those running older versions (≤1.6.3), are at risk. Shared hosting environments where users have limited control over plugin updates are also particularly vulnerable. Sites with misconfigured file permissions that allow the web server user to access sensitive files are at increased risk.
• wordpress / composer / npm:
grep -r "../" /var/www/html/wp-content/plugins/ovic-importer/• generic web:
curl -I 'https://your-wordpress-site.com/wp-content/plugins/ovic-importer/../../../../etc/passwd' # Check for file accessdisclosure
Exploit Status
EPSS
0.78% (74% percentiel)
CISA SSVC
CVSS-vector
De primaire mitigatie is het upgraden naar Ovic Importer versie 1.6.4 of hoger. Als een directe upgrade niet mogelijk is, kan de toegang tot de importer-directory worden beperkt via webserverconfiguratie (bijvoorbeeld .htaccess voor Apache). Zorg ervoor dat bestandsnamen die via de importer worden verwerkt grondig worden gevalideerd om path traversal te voorkomen. Implementeer een Web Application Firewall (WAF) met regels die path traversal pogingen detecteren en blokkeren. Monitor serverlogs op verdachte bestandsaanvragen.
Actualice el plugin Ovic Importer a la última versión disponible. Si no hay una versión disponible, considere deshabilitar o eliminar el plugin hasta que se publique una versión corregida. Esto evitará la explotación de la vulnerabilidad de Path Traversal.
Kwetsbaarheidsanalyses en kritieke waarschuwingen direct in uw inbox.
CVE-2024-35754 is a security vulnerability in Ovic Importer allowing attackers to read arbitrary files via path traversal. It's rated HIGH severity (CVSS 7.5) and affects versions up to 1.6.3.
You are affected if you are using Ovic Importer version 1.6.3 or earlier. Check your plugin version and upgrade immediately if necessary.
Upgrade Ovic Importer to version 1.6.4 or later. As a temporary workaround, implement a WAF rule to block path traversal attempts.
There is currently no evidence of active exploitation, but it's crucial to apply the patch promptly to prevent potential future attacks.
Refer to the Ovic Importer project's official website or WordPress plugin repository for the latest security advisory and update information.
Upload je dependency-bestand en kom direct te weten of deze en andere CVEs jou raken.
Upload je dependency-bestand en kom direct te weten of deze en andere CVEs jou raken.