Platform
wordpress
Component
analyse-uploads
Opgelost in
0.5.1
CVE-2024-49253 beschrijft een Arbitrary File Access kwetsbaarheid in James Park Analyse Uploads. Deze kwetsbaarheid stelt een aanvaller in staat om willekeurige bestanden op de server te benaderen, wat kan leiden tot data-exfiltratie of zelfs code-uitvoering. De kwetsbaarheid treft versies van Analyse Uploads tot en met 0.5. Een patch is beschikbaar in versie 0.5.1.
Deze kwetsbaarheid maakt het mogelijk voor een aanvaller om bestanden buiten de beoogde upload directory te benaderen. Dit kan gevoelige informatie onthullen, zoals configuratiebestanden, database credentials of broncode. In het ergste geval kan een aanvaller deze toegang gebruiken om schadelijke code op de server uit te voeren, waardoor de volledige WordPress installatie gecompromitteerd wordt. De impact is aanzienlijk, aangezien de kwetsbaarheid relatief eenvoudig te exploiteren is en de potentiële schade groot is.
Deze kwetsbaarheid is openbaar bekend en er zijn waarschijnlijk reeds proof-of-concept exploits beschikbaar. De kwetsbaarheid is opgenomen in het CISA KEV catalogus (KEV status onbekend op moment van schrijven). Er zijn geen meldingen van actieve campagnes bekend, maar de relatieve eenvoud van de exploitatie maakt het een aantrekkelijk doelwit voor aanvallers.
WordPress websites utilizing the Analyse Uploads plugin, particularly those running older versions (≤0.5), are at risk. Shared hosting environments where multiple websites share the same server resources are especially vulnerable, as a compromise of one site could potentially expose files on other sites.
• wordpress / composer / npm:
grep -r "../" /var/www/html/wp-content/plugins/analyse-uploads/• generic web:
curl -I http://your-wordpress-site.com/wp-content/uploads/../../../../etc/passwd | head -n 1disclosure
Exploit Status
EPSS
0.29% (53% percentiel)
CISA SSVC
CVSS-vector
De primaire mitigatie is het upgraden van Analyse Uploads naar versie 0.5.1 of hoger. Indien een directe upgrade niet mogelijk is, overweeg dan tijdelijke maatregelen zoals het beperken van de upload directory rechten via de WordPress server configuratie (bijvoorbeeld via .htaccess). Controleer ook de server logs op verdachte activiteiten, zoals pogingen om bestanden buiten de upload directory te benaderen. Na de upgrade, verifieer de fix door te proberen een bestand buiten de upload directory te benaderen via een web request; dit zou een 403 Forbidden error moeten opleveren.
Actualice el plugin Analyse Uploads a la última versión disponible. Si no hay una versión disponible, considere desinstalar el plugin hasta que se publique una versión corregida. Esto evitará la eliminación arbitraria de archivos en su servidor.
Kwetsbaarheidsanalyses en kritieke waarschuwingen direct in uw inbox.
CVE-2024-49253 is a vulnerability in the Analyse Uploads WordPress plugin allowing attackers to read arbitrary files on the server. It affects versions up to 0.5 and has a CVSS score of 8.6 (HIGH).
You are affected if you are using Analyse Uploads version 0.5 or earlier. Check your plugin version and upgrade immediately if necessary.
Upgrade the Analyse Uploads plugin to version 0.5.1 or later. If immediate upgrade is not possible, implement WAF rules to block suspicious path traversal attempts.
As of now, there are no confirmed reports of active exploitation, but the high CVSS score warrants immediate attention and remediation.
Refer to the James Park website or WordPress plugin repository for the official advisory and update information regarding CVE-2024-49253.
Upload je dependency-bestand en kom direct te weten of deze en andere CVEs jou raken.
Upload je dependency-bestand en kom direct te weten of deze en andere CVEs jou raken.