File Manager Advanced Shortcode <= Múltiplas Versões - Inclusão Local de Arquivo JavaScript via Shortcode (Administrador+ Autenticado)

A exploração bem-sucedida da vulnerabilidade LFI permite que um atacante autenticado execute código JavaScript arbitrário no servidor WordPress. Isso pode levar à exfiltração de dados confidenciais, como credenciais de usuários e informações de configuração do site. Além disso, o atacante pode usar essa vulnerabilidade para contornar controles de acesso e potencialmente obter controle total sobre o servidor, comprometendo a integridade e a confidencialidade dos dados. A capacidade de incluir arquivos JavaScript abre um caminho para a execução de código malicioso, similar a ataques XSS (Cross-Site Scripting) avançados, mas com maior impacto devido à capacidade de manipular o servidor.

WordPress sites utilizing the File Manager Advanced Shortcode plugin, particularly those with administrator accounts that have access to the file management functionality, are at risk. Shared hosting environments where multiple WordPress installations share the same server resources are also at increased risk, as a compromise of one site could potentially lead to the compromise of others.

• wordpress / plugin:

wp plugin list | grep 'File Manager Advanced Shortcode'

• wordpress / plugin: Check the plugin version. If it's <= 2.5.6, the system is vulnerable.

wp plugin list --status=active | grep 'File Manager Advanced Shortcode'

• wordpress / plugin: Examine WordPress logs for suspicious file inclusion attempts involving the 'filemanageradvanced' shortcode.

grep 'file_manager_advanced' /var/log/apache2/error.log

• wordpress / plugin: Review file upload directories for unexpected JavaScript files.

ls -l /path/to/wordpress/wp-content/uploads/

1. 2025-05-15Disclosure

   disclosure

1. Reservado2025-03-01
2. Publicada2025-05-15
3. Modificada2025-07-01
4. EPSS atualizado2026-04-02

A mitigação imediata para CVE-2024-13914 é atualizar o plugin File Manager Advanced Shortcode para a versão 2.6.0 ou superior. Se a atualização imediata não for possível devido a problemas de compatibilidade, considere desativar o plugin até que uma solução alternativa seja implementada. Como medida adicional, implemente regras de firewall de aplicação web (WAF) para bloquear solicitações que tentem incluir arquivos não autorizados. Monitore os logs do servidor WordPress em busca de atividades suspeitas, como tentativas de acesso a arquivos sensíveis ou execução de código desconhecido.