Download Counter Button <= 1.8.6.7 - Niet-geauthenticeerde willekeurige bestandsdownload

Een succesvolle exploitatie van deze kwetsbaarheid kan leiden tot ongeautoriseerde toegang tot gevoelige bestanden op de webserver. Dit omvat potentieel configuratiebestanden, database dumps, broncode en andere vertrouwelijke informatie. De impact kan variëren afhankelijk van de bestanden die toegankelijk zijn, maar kan in ernstige gevallen leiden tot volledige compromittering van de server en de daaraan gekoppelde data. Het is vergelijkbaar met situaties waarin een aanvaller toegang krijgt tot de root directory van een website en gevoelige bestanden kan downloaden.

Websites using the MelAbu WP Download Counter Button plugin, particularly those with sensitive data stored on the server or with permissive file system permissions, are at risk. Shared hosting environments where users have limited control over plugin configurations are also particularly vulnerable.

• wordpress / composer / npm:

grep -r "wp_enqueue_style('melabu-counter-button',\s*plugin_dir_url(__FILE__)"

• wordpress / composer / npm:

wp plugin list | grep melabu

• wordpress / composer / npm:

wp plugin status | grep melabu

• generic web: Check for unusual file downloads via the plugin's download button. Monitor access logs for requests to files outside the expected download directory.

1. 2025-11-05Disclosure

   disclosure

1. Gereserveerd2025-09-26
2. Gepubliceerd2025-11-05
3. Gewijzigd2026-04-02
4. EPSS bijgewerkt2026-03-23

De primaire mitigatie is het upgraden van de MelAbu WP Download Counter Button plugin naar de meest recente versie, waar de kwetsbaarheid is verholpen. Indien een directe upgrade niet mogelijk is, kan een tijdelijke workaround bestaan uit het beperken van de toegangsrechten van de webservergebruiker of het implementeren van een Web Application Firewall (WAF) die pogingen tot het downloaden van willekeurige bestanden blokkeert. Controleer ook de WordPress configuratie op onnodige bestandsrechten.