Plataforma
wordpress
Componente
wp-cafe
Corrigido em
2.2.29
A vulnerabilidade CVE-2024-43135 é uma falha de Path Traversal descoberta no plugin WPCafe para WordPress. Essa falha permite a Inclusão de Arquivo Local (LFI), possibilitando que um atacante acesse arquivos arbitrários no servidor. A vulnerabilidade afeta versões do WPCafe anteriores ou iguais a 2.2.28, e foi corrigida na versão 2.2.29.
Um atacante explorando com sucesso essa vulnerabilidade pode ler arquivos sensíveis no servidor WordPress, como arquivos de configuração, chaves de API e até mesmo código-fonte. Isso pode levar à exposição de informações confidenciais, comprometimento do servidor e potencial execução de código malicioso. A inclusão de arquivos locais permite que o atacante inclua arquivos do sistema de arquivos do servidor, abrindo portas para ataques mais avançados. A severidade da vulnerabilidade é alta devido ao potencial de acesso não autorizado a dados críticos.
A vulnerabilidade foi divulgada em 13 de agosto de 2024. Não há informações disponíveis sobre exploração ativa em campanhas. A ausência de um Proof of Concept (PoC) público dificulta a avaliação precisa da probabilidade de exploração, mas a natureza da vulnerabilidade (Path Traversal) a torna um alvo potencial para atacantes. A vulnerabilidade não foi adicionada ao KEV da CISA até o momento.
WordPress websites utilizing the WPCafe plugin, particularly those running versions prior to 2.2.29, are at risk. Shared hosting environments where users have limited control over plugin updates and server configurations are especially vulnerable. Sites with weak file permissions or inadequate security hardening are also at increased risk.
• wordpress / composer / npm:
grep -r "../" /var/www/html/wp-content/plugins/wpcafe/• wordpress / composer / npm:
wp plugin list --status=inactive | grep wpcafe• wordpress / composer / npm:
curl -I http://your-wordpress-site.com/wp-content/plugins/wpcafe/wp-cafe.php?page=../../../../etc/passwd | head -n 1disclosure
Status do Exploit
EPSS
1.66% (percentil 82%)
CISA SSVC
Vetor CVSS
A mitigação primária para CVE-2024-43135 é atualizar o plugin WPCafe para a versão 2.2.29 ou superior. Se a atualização imediata não for possível devido a problemas de compatibilidade, considere restringir o acesso ao diretório do plugin através de permissões de arquivo no servidor. Implementar um Web Application Firewall (WAF) com regras para bloquear tentativas de acesso a arquivos fora do diretório do plugin também pode ajudar a mitigar o risco. Monitore os logs do servidor em busca de tentativas de acesso a arquivos suspeitos.
Actualiza el plugin WPCafe a la última versión disponible. Si no hay una versión más reciente, considera deshabilitar o eliminar el plugin hasta que se publique una actualización que corrija la vulnerabilidad. Revisa las notas de la versión para confirmar que la vulnerabilidad ha sido solucionada.
Análise de vulnerabilidades e alertas críticos diretamente no seu e-mail.
CVE-2024-43135 is a Path Traversal vulnerability affecting the WPCafe WordPress plugin, allowing attackers to potentially include arbitrary files on the server.
You are affected if you are using WPCafe version 2.2.28 or earlier. Upgrade to version 2.2.29 to resolve the issue.
Upgrade the WPCafe plugin to version 2.2.29 or later. Consider temporary workarounds like WAF rules and file permission restrictions if immediate upgrade is not possible.
As of August 2024, there are no confirmed reports of active exploitation, but the vulnerability's nature suggests potential for future exploitation.
Refer to the official WPCafe plugin website or WordPress plugin repository for the latest advisory and update information.
Envie seu arquivo de dependências e descubra na hora se esta e outras CVEs te atingem.
Envie seu arquivo de dependências e descubra na hora se esta e outras CVEs te atingem.