Plataforma
wordpress
Componente
cs-framework
Corrigido em
7.0.1
A vulnerabilidade CVE-2024-12035 afeta o plugin CS Framework para WordPress, permitindo acesso arbitrário de arquivos. Devido à falta de validação adequada do caminho do arquivo na função cswidgetfile_delete(), um atacante autenticado com permissões de Subscriber ou superior pode excluir arquivos no servidor. Essa falha impacta versões do plugin até a 6.9 e pode levar à execução remota de código.
Um atacante explorando com sucesso essa vulnerabilidade pode obter acesso não autorizado para excluir arquivos críticos no servidor WordPress. A exclusão de arquivos como wp-config.php pode resultar na interrupção do serviço e, mais gravemente, na execução remota de código. A capacidade de excluir arquivos permite a manipulação do ambiente do servidor, abrindo caminho para a instalação de malware, roubo de dados confidenciais e comprometimento completo do site. A autenticação de nível Subscriber torna a exploração relativamente fácil, ampliando o escopo do risco.
A vulnerabilidade foi divulgada em 2025-03-07. Não há informações disponíveis sobre exploração ativa ou inclusão no KEV (CISA Known Exploited Vulnerabilities) no momento da redação. A existência de acesso autenticado (Subscriber) simplifica a exploração, tornando-a um alvo potencial para atacantes.
Status do Exploit
EPSS
1.66% (percentil 82%)
CISA SSVC
Vetor CVSS
A mitigação primária é atualizar o plugin CS Framework para a versão corrigida, assim que estiver disponível. Enquanto a atualização não for possível, implemente medidas de segurança adicionais. Restrinja as permissões de arquivo e diretório para o usuário do servidor web. Considere a utilização de um Web Application Firewall (WAF) com regras para bloquear solicitações suspeitas de exclusão de arquivos. Monitore os logs do servidor WordPress em busca de tentativas de exclusão de arquivos não autorizadas.
Actualice el plugin CS Framework a una versión posterior a la 7.0. Esto solucionará la vulnerabilidad de eliminación arbitraria de archivos. Si no hay una versión disponible, considere deshabilitar el plugin hasta que se publique una actualización.
Análise de vulnerabilidades e alertas críticos diretamente no seu e-mail.
It's an arbitrary file deletion vulnerability in the CS Framework WordPress plugin, allowing authenticated users to delete files on the server, potentially leading to remote code execution.
If you're using the CS Framework plugin in WordPress and are running a version 6.9 or earlier, you are potentially affected by this vulnerability.
Upgrade the CS Framework plugin to the latest available version to patch the vulnerability. If immediate upgrade isn't possible, implement temporary mitigation measures like WAF rules.
While not currently listed on KEV or EPSS, the ease of exploitation suggests a potential for active exploitation, so vigilance is advised.
Refer to the official WordPress plugin repository for updates and security advisories related to the CS Framework plugin and the CVE-2024-12035 vulnerability.
Envie seu arquivo de dependências e descubra na hora se esta e outras CVEs te atingem.
Envie seu arquivo de dependências e descubra na hora se esta e outras CVEs te atingem.