Platform
wordpress
Component
jettabs
Opgelost in
2.2.4
CVE-2024-7146 beschrijft een Local File Inclusion (LFI) kwetsbaarheid in de JetTabs for Elementor plugin voor WordPress. Deze kwetsbaarheid stelt geauthenticeerde aanvallers in staat om willekeurige bestanden op de server te includeren en uit te voeren, wat kan leiden tot code-uitvoering. De kwetsbaarheid treft versies van de plugin tot en met 2.2.3. Een update naar de nieuwste versie is vereist om de kwetsbaarheid te verhelpen.
Een succesvolle exploitatie van deze kwetsbaarheid kan leiden tot ernstige gevolgen. Een geauthenticeerde aanvaller, met minimaal Contributor-niveau toegang, kan PHP-code op de server uitvoeren. Dit kan misbruikt worden om toegang te krijgen tot gevoelige data, configuratiebestanden te wijzigen, of zelfs volledige controle over de WordPress-installatie te verkrijgen. De impact is vergelijkbaar met andere LFI-kwetsbaarheden waarbij de aanvaller de mogelijkheid heeft om bestanden te includeren die door de applicatie worden verwerkt, waardoor code-uitvoering mogelijk wordt. De blast radius is aanzienlijk, aangezien de aanvaller de mogelijkheid heeft om de gehele server te compromitteren.
Deze kwetsbaarheid is openbaar bekend en de details zijn beschikbaar. Er zijn momenteel geen meldingen van actieve exploits in de wild, maar de lage drempel voor exploitatie (geauthenticeerde toegang) maakt het een aantrekkelijk doelwit. De kwetsbaarheid is opgenomen in het CISA KEV catalogus (KEV status onbekend op moment van schrijven). Er zijn publieke proof-of-concept exploits beschikbaar, wat de kans op misbruik vergroot.
WordPress websites using the JetTabs for Elementor plugin, particularly those with users having Contributor-level access or higher, are at risk. Shared hosting environments where users have limited control over file permissions are also at increased risk, as attackers may be able to upload malicious files more easily. Websites with outdated plugin versions are particularly vulnerable.
• wordpress / composer / npm:
grep -r 'switcher_preset' /var/www/html/wp-content/plugins/jet-tabs-for-elementor/• wordpress / composer / npm:
wp plugin list --status=all | grep jet-tabs-for-elementor• wordpress / composer / npm:
curl -I http://your-wordpress-site.com/wp-content/plugins/jet-tabs-for-elementor/ | grep switcher_presetdisclosure
Exploit Status
EPSS
0.37% (59% percentiel)
CISA SSVC
CVSS-vector
De primaire mitigatie voor CVE-2024-7146 is het updaten van de JetTabs for Elementor plugin naar de nieuwste versie. Controleer de officiële plugin-pagina voor de meest recente versie. Indien een directe upgrade problemen veroorzaakt, overweeg dan een rollback naar een eerdere, veilige versie (indien beschikbaar) of het tijdelijk uitschakelen van de plugin. Daarnaast kan het implementeren van een Web Application Firewall (WAF) helpen om verdachte verzoeken te blokkeren. Controleer de WordPress-logbestanden op verdachte activiteiten, zoals pogingen tot het includeren van onverwachte bestanden.
Actualice el plugin JetTabs for Elementor a la última versión disponible. La vulnerabilidad se encuentra en versiones anteriores a la más reciente. La actualización corregirá la vulnerabilidad de inclusión de archivos locales.
Kwetsbaarheidsanalyses en kritieke waarschuwingen direct in uw inbox.
CVE-2024-7146 is a Local File Inclusion vulnerability in the JetTabs for Elementor plugin, allowing authenticated attackers to execute arbitrary PHP code.
You are affected if you are using JetTabs for Elementor version 2.2.3 or earlier and have users with Contributor access or higher.
Upgrade the JetTabs for Elementor plugin to the latest available version that contains the fix. Consider temporary workarounds if immediate upgrade is not possible.
There is currently no confirmed active exploitation, but the vulnerability is publicly known and could be exploited.
Refer to the JetTabs for Elementor plugin documentation and website for the official advisory and update information.
Upload je dependency-bestand en kom direct te weten of deze en andere CVEs jou raken.
Upload je dependency-bestand en kom direct te weten of deze en andere CVEs jou raken.