Platform
wordpress
Component
wpspx
Opgelost in
1.0.3
CVE-2024-44034 beschrijft een Path Traversal kwetsbaarheid in de WPSPX WordPress plugin. Deze kwetsbaarheid stelt een aanvaller in staat om lokale PHP-bestanden te includeren, wat kan leiden tot ongeautoriseerde toegang tot gevoelige informatie of code-uitvoering. De kwetsbaarheid treft versies van WPSPX tot en met 1.0.2. Een fix is beschikbaar in versie 1.0.3.
Een succesvolle exploitatie van deze Path Traversal kwetsbaarheid kan aanzienlijke gevolgen hebben voor WordPress-websites die WPSPX gebruiken. Een aanvaller kan gebruik maken van de kwetsbaarheid om lokale PHP-bestanden te includeren, waardoor ze mogelijk toegang kunnen krijgen tot configuratiebestanden, database credentials of andere gevoelige informatie. In het ergste geval kan een aanvaller code op de server uitvoeren, waardoor ze de volledige controle over de website kunnen overnemen. Dit kan leiden tot data-exfiltratie, website defacement of andere schadelijke activiteiten. De impact is vergelijkbaar met andere Path Traversal kwetsbaarheden waarbij een aanvaller de directory structuur kan navigeren om toegang te krijgen tot bestanden buiten de toegestane directory.
Op dit moment is er geen informatie beschikbaar over actieve exploits in de wild. Er zijn ook geen publieke proof-of-concept exploits bekend. De kwetsbaarheid is opgenomen in het NVD (National Vulnerability Database) en gepubliceerd op 2024-10-05. De EPSS score is nog niet bekend, maar gezien de Path Traversal aard en de potentiële impact, is een medium tot hoge waarschijnlijkheid van exploitatie mogelijk.
Websites using the WPSPX plugin, particularly those running older versions (≤1.0.2), are at risk. Shared hosting environments are especially vulnerable as they often have limited control over server configurations and plugin updates. WordPress installations with default or weak security configurations are also more susceptible to exploitation.
• wordpress / composer / npm:
grep -r "../" /var/www/html/wp-content/plugins/wpspx/*• generic web:
curl -I 'http://your-wordpress-site.com/wp-content/plugins/wpspx/index.php?file=../../../../etc/passwd'• wordpress / composer / npm:
wp plugin list --status=inactive• wordpress / composer / npm:
wp plugin auto-update --alldisclosure
Exploit Status
EPSS
0.30% (53% percentiel)
CISA SSVC
CVSS-vector
De primaire mitigatie voor CVE-2024-44034 is het upgraden van de WPSPX plugin naar versie 1.0.3 of hoger. Indien een upgrade momenteel niet mogelijk is, kan een tijdelijke workaround bestaan uit het beperken van de toegang tot de WPSPX directory via een web application firewall (WAF) of proxy server. Configureer de WAF om verzoeken naar bestanden buiten de toegestane directory te blokkeren. Controleer ook de configuratie van de WordPress server om te zorgen voor de juiste permissies en beveiligingsinstellingen. Na de upgrade, controleer de logs op verdachte activiteiten en bevestig dat de kwetsbaarheid is verholpen door te proberen de kwetsbare endpoint te benaderen.
Actualice el plugin WPSPX a una versión posterior a la 1.0.2. Esto solucionará la vulnerabilidad de inclusión de archivos locales. Puede actualizar el plugin directamente desde el panel de administración de WordPress.
Kwetsbaarheidsanalyses en kritieke waarschuwingen direct in uw inbox.
CVE-2024-44034 is a Path Traversal vulnerability in the WPSPX WordPress plugin that allows attackers to potentially include arbitrary files on the server.
You are affected if you are using WPSPX versions 1.0.2 or earlier. Upgrade to version 1.0.3 to resolve the vulnerability.
Upgrade the WPSPX plugin to version 1.0.3 or later. If immediate upgrade is not possible, implement temporary workarounds like WAF rules or file permission restrictions.
While no confirmed active exploitation campaigns are known, the vulnerability's nature suggests a potential for opportunistic attacks.
Refer to the WPSPX project's official website or WordPress plugin repository for the latest advisory and release notes.
Upload je dependency-bestand en kom direct te weten of deze en andere CVEs jou raken.
Upload je dependency-bestand en kom direct te weten of deze en andere CVEs jou raken.