Platform
wordpress
Component
digipass
Opgelost in
0.3.1
CVE-2024-52378 beschrijft een 'Path Traversal' kwetsbaarheid in de DigiPass WordPress plugin. Deze kwetsbaarheid stelt aanvallers in staat om willekeurige bestanden op de server te benaderen, wat kan leiden tot data-exfiltratie of zelfs code-uitvoering. De kwetsbaarheid treft versies van DigiPass tot en met 0.3.0. Een patch is beschikbaar in versie 0.3.1.
De 'Path Traversal' kwetsbaarheid in DigiPass maakt het mogelijk voor een aanvaller om bestanden buiten de toegestane directory te benaderen. Dit kan leiden tot het lezen van gevoelige configuratiebestanden, broncode of andere kritieke data die op de webserver zijn opgeslagen. In het ergste geval kan een aanvaller deze kwetsbaarheid misbruiken om code uit te voeren, waardoor de volledige WordPress website gecompromitteerd kan worden. De impact is aanzienlijk, vooral voor websites die DigiPass gebruiken om wachtwoorden en andere gevoelige informatie op te slaan.
Deze kwetsbaarheid is openbaar bekend en er zijn mogelijk reeds proof-of-concept exploits beschikbaar. Er is geen informatie beschikbaar over actieve campagnes die deze specifieke kwetsbaarheid misbruiken, maar de path traversal kwetsbaarheden zijn over het algemeen eenvoudig te exploiteren. De kwetsbaarheid is gepubliceerd op 2024-11-14.
WordPress websites utilizing the DigiPass plugin, particularly those running versions prior to 0.3.0, are at risk. Shared hosting environments where multiple websites share the same server resources are especially vulnerable, as a compromise of one site could potentially expose files on other sites.
• wordpress / composer / npm:
grep -r '../' /var/www/html/wp-content/plugins/digipass/*• generic web:
curl -I 'http://your-wordpress-site.com/wp-content/plugins/digipass/../../../../etc/passwd' # Check for file disclosuredisclosure
Exploit Status
EPSS
0.22% (44% percentiel)
CISA SSVC
CVSS-vector
De primaire mitigatie is het updaten van de DigiPass plugin naar versie 0.3.1 of hoger. Indien een directe upgrade niet mogelijk is, overweeg dan tijdelijke maatregelen zoals het beperken van de rechten van de webservergebruiker of het implementeren van een Web Application Firewall (WAF) met regels die path traversal pogingen detecteren en blokkeren. Controleer ook de WordPress configuratie op onnodige directory listing functionaliteit. Na de upgrade, bevestig de fix door te proberen toegang te krijgen tot bestanden buiten de toegestane directory via de plugin interface.
Actualice el plugin DigiPass a una versión posterior a la 0.3.0. Esto solucionará la vulnerabilidad de descarga arbitraria de archivos. Si no hay una versión disponible, considere deshabilitar el plugin hasta que se publique una actualización.
Kwetsbaarheidsanalyses en kritieke waarschuwingen direct in uw inbox.
CVE-2024-52378 is a HIGH severity vulnerability in DigiPass WordPress plugin allowing attackers to read arbitrary files due to improper path validation. Versions affected are those prior to 0.3.1.
Yes, if you are using DigiPass version 0.3.0 or earlier, you are vulnerable to this Arbitrary File Access vulnerability.
Upgrade DigiPass to version 0.3.1 or later to resolve the vulnerability. Consider WAF rules as a temporary mitigation if upgrading is not immediately possible.
While there's no confirmed active exploitation, public proof-of-concept exploits exist, increasing the risk of future attacks.
Refer to the Labs64 website and WordPress plugin repository for the official advisory and update information regarding CVE-2024-52378.
Upload je dependency-bestand en kom direct te weten of deze en andere CVEs jou raken.
Upload je dependency-bestand en kom direct te weten of deze en andere CVEs jou raken.