Platform
wordpress
Component
js-support-ticket
Opgelost in
3.0.0
CVE-2025-30882 beschrijft een 'Path Traversal' kwetsbaarheid in JoomSky JS Help Desk. Deze kwetsbaarheid stelt aanvallers in staat om bestanden buiten de toegestane directory te benaderen, wat kan leiden tot ongeautoriseerde toegang tot gevoelige informatie. De kwetsbaarheid treft versies van JS Help Desk van 0.0.0 tot en met 2.9.1. Een fix is beschikbaar in versie 3.0.0.
Een succesvolle exploitatie van deze kwetsbaarheid kan leiden tot ongeautoriseerde toegang tot bestanden op de server waarop JS Help Desk draait. Dit omvat potentieel configuratiebestanden, broncode, of andere gevoelige data. Een aanvaller kan deze data gebruiken om de server verder te compromitteren, zoals het verkrijgen van credentials voor verdere toegang of het uitvoeren van schadelijke code. De impact is aanzienlijk, aangezien een aanvaller de integriteit en vertrouwelijkheid van de applicatie en de onderliggende server kan aantasten. Het is vergelijkbaar met bekende path traversal exploits waarbij aanvallers gebruik maken van '..' sequenties om directory's te doorlopen en toegang te krijgen tot bestanden buiten de beoogde scope.
Deze kwetsbaarheid is openbaar bekend gemaakt op 2025-04-01. Er is momenteel geen informatie beschikbaar over actieve exploits in de wild. De CVSS score van 7.5 (HIGH) duidt op een significant risico. Er zijn geen bekende KEV vermeldingen op het moment van schrijven. Er zijn geen publieke proof-of-concept exploits bekend.
Websites utilizing older versions of JS Help Desk, particularly those with shared hosting environments or limited security configurations, are at heightened risk. Administrators who haven't implemented robust file access controls or regular vulnerability scanning are also more susceptible to exploitation.
• wordpress / composer / npm:
grep -r "../" /var/www/html/wp-content/plugins/js-help-desk/*• generic web:
curl -I http://your-site.com/../../../../etc/passwd• wordpress / composer / npm:
wp plugin list --status=inactive | grep js-help-desk• wordpress / composer / npm:
wp plugin update js-help-deskdisclosure
Exploit Status
EPSS
0.50% (66% percentiel)
CISA SSVC
CVSS-vector
De primaire mitigatie is het upgraden naar versie 3.0.0 van JS Help Desk, waarin de kwetsbaarheid is verholpen. Indien een directe upgrade niet mogelijk is, kan een tijdelijke workaround bestaan uit het beperken van de rechten van de webservergebruiker die JS Help Desk draait, zodat deze geen toegang heeft tot gevoelige bestanden buiten de applicatie directory. Het implementeren van een Web Application Firewall (WAF) met regels die pad traversal pogingen detecteren en blokkeren kan ook helpen. Controleer de toegang tot de JS Help Desk directory en beperk deze tot alleen de benodigde bestanden en mappen. Na de upgrade, verifieer de fix door te proberen een bestand buiten de toegestane directory te benaderen via een URL met pad traversal parameters (bijvoorbeeld ../../../../etc/passwd).
Actualice el plugin JS Help Desk a la versión 3.0.0 o superior para mitigar la vulnerabilidad de recorrido de ruta. Esta actualización corrige la falta de limitación adecuada de la ruta de acceso, previniendo el acceso no autorizado a archivos sensibles.
Kwetsbaarheidsanalyses en kritieke waarschuwingen direct in uw inbox.
CVE-2025-30882 is a vulnerability in JS Help Desk allowing attackers to read arbitrary files due to a path traversal flaw. It affects versions 0.0.0 through 2.9.1 and has a CVSS score of 7.5 (HIGH).
You are affected if you are using JS Help Desk versions 0.0.0 through 2.9.1. Check your plugin version and upgrade immediately if vulnerable.
Upgrade JS Help Desk to version 3.0.0 or later to resolve the vulnerability. If immediate upgrade is not possible, implement temporary workarounds like WAF rules and restricted file permissions.
While no public exploits are currently known, the nature of path traversal vulnerabilities suggests potential for exploitation. Proactive remediation is recommended.
Refer to the JoomSky website and WordPress plugin repository for the official advisory and update information regarding CVE-2025-30882.
Upload je dependency-bestand en kom direct te weten of deze en andere CVEs jou raken.
Upload je dependency-bestand en kom direct te weten of deze en andere CVEs jou raken.