Platform
wordpress
Component
wp-newsletter-subscription
Opgelost in
1.1.1
CVE-2024-44012 beschrijft een Path Traversal kwetsbaarheid in de WordPress plugin WP Newsletter Subscription. Deze kwetsbaarheid maakt PHP Local File Inclusion mogelijk, waardoor een aanvaller potentieel gevoelige bestanden op de server kan benaderen. De kwetsbaarheid treft versies van de plugin tot en met 1.1. Een patch is beschikbaar in versie 1.1.1.
Een succesvolle exploitatie van deze Path Traversal kwetsbaarheid stelt een aanvaller in staat om willekeurige bestanden op de webserver te lezen, mits de aanvaller de juiste paden kan manipuleren. Dit kan leiden tot het blootleggen van configuratiebestanden, broncode, of andere gevoelige informatie. In het ergste geval kan een aanvaller zelfs code uitvoeren op de server, afhankelijk van de bestanden die worden gelezen en de configuratie van de server. De impact is aanzienlijk, aangezien de kwetsbaarheid een potentieel voor volledige servercompromittering biedt.
Deze kwetsbaarheid is openbaar bekend en er is een redelijke kans dat deze wordt misbruikt. Er zijn momenteel geen bekende actieve campagnes gerelateerd aan deze specifieke kwetsbaarheid, maar het is belangrijk om proactief te zijn en de plugin te patchen. De kwetsbaarheid is opgenomen in het NVD (National Vulnerability Database) en gepubliceerd op 2024-10-05.
Websites using the WP Newsletter Subscription plugin, particularly those running older versions (≤1.1), are at risk. Shared hosting environments are especially vulnerable as they often have limited control over plugin configurations and security measures. Sites with weak file permissions or inadequate server-level security configurations are also at increased risk.
• wordpress / composer / npm:
grep -r "../" /var/www/html/wp-content/plugins/wp-newsletter-subscription/• generic web:
curl -I http://your-wordpress-site.com/wp-content/plugins/wp-newsletter-subscription/../../../../etc/passwddisclosure
Exploit Status
EPSS
0.30% (53% percentiel)
CISA SSVC
CVSS-vector
De primaire mitigatie is het updaten van de WP Newsletter Subscription plugin naar versie 1.1.1 of hoger. Indien een directe upgrade niet mogelijk is, overweeg dan het beperken van de toegangsrechten van de webservergebruiker om de impact van een succesvolle exploitatie te minimaliseren. Controleer ook de WordPress configuratie op onnodige permissies. Na de upgrade, controleer de serverlogs op verdachte activiteit en bevestig dat de kwetsbaarheid is verholpen door te proberen de kwetsbare paden te benaderen.
Actualice el plugin WP Newsletter Subscription a la última versión disponible. Si no hay una versión disponible, considere deshabilitar o eliminar el plugin hasta que se publique una versión corregida. Revise las configuraciones del plugin para asegurar que no haya opciones que permitan la inclusión de archivos locales.
Kwetsbaarheidsanalyses en kritieke waarschuwingen direct in uw inbox.
CVE-2024-44012 is a Path Traversal vulnerability in the WP Newsletter Subscription plugin that allows attackers to potentially include arbitrary files on the server, leading to sensitive data exposure or code execution.
You are affected if you are using WP Newsletter Subscription version 1.1 or earlier. Upgrade to version 1.1.1 to resolve the vulnerability.
Upgrade the WP Newsletter Subscription plugin to version 1.1.1 or later. As a temporary workaround, restrict access to the plugin directory using your web server configuration.
While no active exploitation campaigns have been publicly reported, the vulnerability's ease of exploitation makes it a potential target for attackers.
Refer to the plugin developer's website or WordPress.org plugin page for the latest advisory and update information.
Upload je dependency-bestand en kom direct te weten of deze en andere CVEs jou raken.
Upload je dependency-bestand en kom direct te weten of deze en andere CVEs jou raken.