Platform
wordpress
Component
wp-all-import-pro
Opgelost in
4.9.4
CVE-2024-9624 beschrijft een Server-Side Request Forgery (SSRF) kwetsbaarheid in de WP All Import Pro plugin voor WordPress. Deze kwetsbaarheid stelt geauthenticeerde aanvallers met administratorrechten in staat om webverzoeken naar willekeurige locaties te sturen, wat kan leiden tot het blootleggen van interne systemen en data. De kwetsbaarheid treft versies van de plugin tot en met 4.9.3. Een patch is beschikbaar en wordt sterk aangeraden.
Een succesvolle exploitatie van deze SSRF-kwetsbaarheid kan aanzienlijke gevolgen hebben. Aanvallers kunnen interne services benaderen die normaal gesproken niet toegankelijk zijn vanaf het internet, zoals databases, API's en beheerdersinterfaces. Op cloudplatforms kan dit leiden tot het uitlezen van Instance metadata, wat gevoelige informatie zoals API-sleutels en wachtwoorden kan onthullen. De impact kan variëren afhankelijk van de interne architectuur en de gevoeligheid van de blootgestelde services. Dit is vergelijkbaar met andere SSRF-aanvallen waarbij interne resources worden blootgesteld door een onvoldoende beveiligde applicatie.
Deze kwetsbaarheid werd publiek bekendgemaakt op 17 december 2024. Er zijn momenteel geen publieke proof-of-concept exploits bekend, maar de SSRF-aard van de kwetsbaarheid maakt het potentieel voor exploitatie aanzienlijk. De kwetsbaarheid is niet opgenomen in de CISA KEV catalogus op het moment van schrijven. Het is raadzaam om de kwetsbaarheid te monitoren en proactieve maatregelen te nemen om de risico's te beperken.
WordPress websites utilizing the WP All Import Pro plugin, particularly those running versions prior to 4.9.3, are at risk. Websites hosted on cloud platforms (AWS, Google Cloud, Azure) are especially vulnerable due to the potential for attackers to access cloud metadata. Sites with weak password policies or compromised administrator accounts are also at higher risk.
• wordpress / plugin:
grep -r 'pmxi_curl_download' /var/www/html/wp-content/plugins/wp-all-import-pro/• wordpress / plugin:
wp plugin list | grep 'wp-all-import-pro'• generic web:
curl -I https://your-wordpress-site.com/wp-content/plugins/wp-all-import-pro/ | grep Server• generic web:
curl -I https://your-wordpress-site.com/wp-content/plugins/wp-all-import-pro/ | grep X-Powered-Bydisclosure
Exploit Status
EPSS
0.30% (54% percentiel)
CISA SSVC
CVSS-vector
De primaire mitigatie is het upgraden van de WP All Import Pro plugin naar een beveiligde versie. Controleer de officiële website van de plugin of de WordPress plugin directory voor de meest recente versie. Indien een upgrade momenteel niet mogelijk is, overweeg dan tijdelijke workarounds zoals het beperken van de toegang tot de pmxicurldownload functie via een WordPress firewall (WAF) of door de configuratie van de server aan te passen om externe verzoeken te blokkeren. Implementeer ook een strikt toegangscontrolebeleid om te voorkomen dat gebruikers met beperkte rechten administratorrechten verkrijgen.
Werk de WP All Import Pro plugin bij naar de laatste beschikbare versie. De SSRF-kwetsbaarheid stelt geauthenticeerde aanvallers in staat om webverzoeken naar willekeurige locaties vanaf de server te sturen, wat de beveiliging van de applicatie en interne services kan compromitteren. De update corrigeert het ontbreken van SSRF-bescherming in de pmxi_curl_download functie.
Kwetsbaarheidsanalyses en kritieke waarschuwingen direct in uw inbox.
CVE-2024-9624 is een Server-Side Request Forgery (SSRF) kwetsbaarheid in de WP All Import Pro plugin voor WordPress, waardoor aanvallers interne services kunnen benaderen.
U bent getroffen als u de WP All Import Pro plugin gebruikt in versie 4.9.3 of lager.
Upgrade de WP All Import Pro plugin naar de nieuwste versie. Indien een upgrade niet mogelijk is, implementeer dan tijdelijke mitigaties zoals een WAF.
Er zijn momenteel geen publieke exploits bekend, maar de SSRF-aard van de kwetsbaarheid maakt exploitatie mogelijk.
Raadpleeg de officiële website van WP All Import Pro of de WordPress plugin directory voor de meest recente informatie.
Upload je dependency-bestand en kom direct te weten of deze en andere CVEs jou raken.
Upload je dependency-bestand en kom direct te weten of deze en andere CVEs jou raken.