Platform
wordpress
Component
woo-product-design
Opgelost in
1.0.1
CVE-2024-50509 beschrijft een 'Path Traversal' kwetsbaarheid in de Woocommerce Product Design plugin. Deze kwetsbaarheid stelt aanvallers in staat om willekeurige bestanden op de server te benaderen, wat kan leiden tot data-exfiltratie of zelfs code-uitvoering. De kwetsbaarheid treft versies van Woocommerce Product Design tot en met 1.0.0. Een fix is beschikbaar in versie 1.0.1.
Een succesvolle exploitatie van deze kwetsbaarheid kan ernstige gevolgen hebben. Aanvallers kunnen gevoelige configuratiebestanden, broncode of andere kritieke data benaderen. Afhankelijk van de bestanden die toegankelijk zijn, kan dit leiden tot volledige controle over de webserver of de mogelijkheid om kwaadaardige code uit te voeren. Dit is vergelijkbaar met andere path traversal kwetsbaarheden waarbij onvoldoende validatie van gebruikersinvoer de toegang tot bestanden buiten de beoogde directory mogelijk maakt. De impact is aanzienlijk, vooral op websites die gevoelige informatie verwerken.
Deze kwetsbaarheid is openbaar bekend gemaakt op 2024-10-30. Er zijn momenteel geen publiekelijk beschikbare proof-of-concept exploits, maar de kwetsbaarheid is eenvoudig te exploiteren en kan snel worden misbruikt. De kans op actieve exploitatie wordt als gemiddeld beschouwd. Controleer de CISA KEV catalogus voor updates over deze kwetsbaarheid.
WordPress sites utilizing the Woocommerce Product Design plugin, particularly those running older versions (≤1.0.0), are at risk. Shared hosting environments where plugin updates are not managed by the user are also particularly vulnerable, as are sites with weak file permission configurations.
• wordpress / composer / npm:
grep -r '../' /var/www/html/wp-content/plugins/woocommerce-product-design/*• generic web:
curl -I 'https://your-wordpress-site.com/wp-content/plugins/woocommerce-product-design/../../../../etc/passwd' # Attempt path traversaldisclosure
Exploit Status
EPSS
14.77% (94% percentiel)
CISA SSVC
CVSS-vector
De primaire mitigatie is het upgraden van de Woocommerce Product Design plugin naar versie 1.0.1 of hoger. Indien een upgrade momenteel niet mogelijk is, overweeg dan tijdelijke maatregelen zoals het beperken van de toegang tot de plugin directory via een web application firewall (WAF) of proxy server. Configureer de WAF om verzoeken met path traversal patronen (zoals '../') te blokkeren. Controleer ook de bestandsrechten op de server om te zorgen dat alleen de webserver-gebruiker toegang heeft tot gevoelige bestanden. Na de upgrade, controleer de serverlogs op verdachte activiteiten die verband houden met path traversal pogingen.
Actualice el plugin Woocommerce Product Design a una versión posterior a la 1.0.0, si está disponible. Si no hay una versión corregida disponible, considere deshabilitar o eliminar el plugin hasta que se publique una actualización que solucione la vulnerabilidad. Consulte el sitio web del proveedor para obtener más información y actualizaciones.
Kwetsbaarheidsanalyses en kritieke waarschuwingen direct in uw inbox.
CVE-2024-50509 is a HIGH severity vulnerability allowing attackers to read files outside of intended directories in Woocommerce Product Design versions up to 1.0.0, potentially exposing sensitive data.
You are affected if you are using Woocommerce Product Design version 1.0.0 or earlier. Check your plugin version and upgrade immediately if necessary.
Upgrade the Woocommerce Product Design plugin to version 1.0.1 or later. Consider implementing a WAF rule to block path traversal attempts as a temporary workaround.
While no widespread exploitation has been confirmed, the ease of exploitation suggests a high probability of exploitation. Monitor security advisories for updates.
Refer to the plugin developer's website or WordPress plugin repository for the official advisory and update information.
Upload je dependency-bestand en kom direct te weten of deze en andere CVEs jou raken.
Upload je dependency-bestand en kom direct te weten of deze en andere CVEs jou raken.