Platform
wordpress
Component
ekc-tournament-manager
Opgelost in
2.2.2
CVE-2024-49674 beschrijft een Cross-Site Request Forgery (CSRF) kwetsbaarheid in EKC Tournament Manager, een WordPress plugin. Deze kwetsbaarheid stelt een aanvaller in staat om een web shell te uploaden naar de webserver, wat kan leiden tot volledige controle over de site. De kwetsbaarheid treft versies van EKC Tournament Manager tot en met 2.2.1. Een fix is beschikbaar in versie 2.2.2.
De impact van deze CSRF-kwetsbaarheid is significant. Een succesvolle exploitatie stelt een aanvaller in staat om een web shell te uploaden, waardoor ze in feite volledige controle over de webserver verkrijgen. Dit kan leiden tot data-exfiltratie, manipulatie van de website, installatie van malware, en zelfs compromittering van andere systemen op hetzelfde netwerk. De mogelijkheid om een web shell te uploaden is vergelijkbaar met de impact van veel RCE-kwetsbaarheden, omdat het de aanvaller een permanente backdoor biedt. De web shell kan gebruikt worden om commando's uit te voeren, bestanden te downloaden en uploaden, en de website te wijzigen.
Deze kwetsbaarheid is openbaar bekend gemaakt op 2024-10-31. Er zijn momenteel geen bekende actieve campagnes gerelateerd aan deze specifieke kwetsbaarheid, maar de mogelijkheid van exploitatie is aanwezig gezien de ernst en de relatieve eenvoud van CSRF-aanvallen. Het is aan te raden om de WordPress site te monitoren op verdachte activiteiten. De kwetsbaarheid is niet opgenomen in de CISA KEV catalogus.
Websites utilizing EKC Tournament Manager, particularly those with limited security controls or shared hosting environments, are at significant risk. Sites with outdated plugin versions and those lacking robust input validation are especially vulnerable.
• wordpress / composer / npm:
grep -r 'EKC Tournament Manager' /var/www/html/
wp plugin list• generic web:
curl -I https://your-website.com/wp-content/plugins/ekc-tournament-manager/disclosure
Exploit Status
EPSS
0.12% (32% percentiel)
CISA SSVC
CVSS-vector
De primaire mitigatie voor CVE-2024-49674 is het updaten van EKC Tournament Manager naar versie 2.2.2 of hoger. Indien een directe upgrade niet mogelijk is, overweeg dan het implementeren van strikte Content Security Policy (CSP) headers om het uploaden van onbekende bestanden te beperken. Daarnaast kan het gebruik van een Web Application Firewall (WAF) helpen om CSRF-aanvallen te detecteren en te blokkeren. Controleer ook de WordPress plugin directory op updates en bekende exploits. Na de upgrade, controleer de webserver logs op verdachte activiteiten en ongebruikelijke bestanden.
Werk de EKC Tournament Manager plugin bij naar de laatste beschikbare versie. Indien er geen versie beschikbaar is, overweeg dan om de plugin uit te schakelen totdat een gecorrigeerde versie is uitgebracht. Raadpleeg de website van de ontwikkelaar voor meer informatie en updates.
Kwetsbaarheidsanalyses en kritieke waarschuwingen direct in uw inbox.
CVE-2024-49674 is een Cross-Site Request Forgery (CSRF) kwetsbaarheid in EKC Tournament Manager, waardoor een aanvaller een web shell kan uploaden.
Ja, als u EKC Tournament Manager gebruikt in versie 2.2.1 of lager, bent u kwetsbaar voor deze CSRF-aanval.
Upgrade EKC Tournament Manager naar versie 2.2.2 of hoger om deze kwetsbaarheid te verhelpen.
Er zijn momenteel geen bekende actieve campagnes, maar de kwetsbaarheid is openbaar bekend en kan potentieel worden misbruikt.
Raadpleeg de plugin pagina op WordPress.org voor de meest recente informatie en updates.
Upload je dependency-bestand en kom direct te weten of deze en andere CVEs jou raken.
Upload je dependency-bestand en kom direct te weten of deze en andere CVEs jou raken.