Platform
wordpress
Component
jet-theme-core
Opgelost in
2.2.1
CVE-2024-37497 beschrijft een kwetsbaarheid van het type Arbitrary File Access in de JetThemeCore plugin, een WordPress component. Deze kwetsbaarheid stelt aanvallers in staat om bestanden op de server te manipuleren door middel van een path traversal aanval. De kwetsbaarheid treft versies van JetThemeCore tot en met 2.2.1. Een fix is beschikbaar in versie 2.2.1.
Een succesvolle exploitatie van deze kwetsbaarheid kan leiden tot ongeautoriseerde toegang tot gevoelige bestanden op de webserver. Aanvallers kunnen configuratiebestanden, broncode of andere kritieke gegevens in handen krijgen. Dit kan resulteren in data-exfiltratie, code-uitvoering of zelfs volledige controle over de server. De impact is aanzienlijk, aangezien de kwetsbaarheid path traversal maakt mogelijk, waardoor aanvallers potentieel toegang krijgen tot bestanden buiten de beoogde directory. Dit is vergelijkbaar met andere path traversal kwetsbaarheden die in het verleden zijn aangetroffen, waarbij de toegang tot gevoelige data werd verkregen.
Deze kwetsbaarheid is openbaar bekend gemaakt op 2024-07-09. Er is momenteel geen informatie beschikbaar over actieve exploits in de wild, maar de publicatie van de CVE maakt het waarschijnlijk dat aanvallers de kwetsbaarheid zullen proberen te exploiteren. Controleer de CISA KEV catalogus voor updates over de status van deze kwetsbaarheid.
Websites using JetThemeCore versions prior to 2.2.1 are at risk. This includes sites using shared hosting environments where file permissions may be less restrictive, and those relying on older WordPress installations that haven't been regularly updated. Sites with sensitive data stored within the WordPress file system are particularly vulnerable.
• wordpress / composer / npm:
grep -r "../" /var/www/html/wp-content/plugins/jet-themecore/*• generic web:
curl -I 'https://your-wordpress-site.com/wp-content/plugins/jet-themecore/../../../../etc/passwd' # Check for file disclosuredisclosure
Exploit Status
EPSS
0.16% (37% percentiel)
CISA SSVC
CVSS-vector
De primaire mitigatie is het upgraden van JetThemeCore naar versie 2.2.1 of hoger. Indien een directe upgrade niet mogelijk is, overweeg dan tijdelijke maatregelen zoals het beperken van de toegangsrechten van de webservergebruiker of het implementeren van een Web Application Firewall (WAF) met regels om path traversal pogingen te blokkeren. Controleer de WordPress plugin directory op eventuele tijdelijke patches of workarounds. Na de upgrade, verifieer de fix door te proberen een bestand buiten de toegestane directory te benaderen via de kwetsbare endpoint; dit zou nu een foutmelding moeten opleveren.
Actualice el plugin JetThemeCore a la versión 2.2.1 o superior. Esta actualización corrige la vulnerabilidad de eliminación arbitraria de archivos. Puede actualizar a través del panel de administración de WordPress o descargando la última versión desde el sitio web del desarrollador.
Kwetsbaarheidsanalyses en kritieke waarschuwingen direct in uw inbox.
CVE-2024-37497 is a vulnerability in JetThemeCore versions ≤2.2.1 that allows attackers to manipulate files on the server due to improper path validation, potentially leading to sensitive data exposure.
You are affected if you are using JetThemeCore version 2.2.1 or earlier. Check your plugin version and upgrade immediately if necessary.
Upgrade JetThemeCore to version 2.2.1 or later. If immediate upgrade is not possible, implement temporary workarounds like restricting file access permissions and WAF rules.
As of now, there are no confirmed reports of active exploitation, but it's crucial to apply the patch promptly to prevent potential attacks.
Refer to the Crocoblock website and JetThemeCore plugin documentation for the official advisory and detailed information regarding this vulnerability.
Upload je dependency-bestand en kom direct te weten of deze en andere CVEs jou raken.
Upload je dependency-bestand en kom direct te weten of deze en andere CVEs jou raken.