Plataforma
wordpress
Componente
embedpress
Corrigido em
4.0.10
Uma vulnerabilidade de Path Traversal foi descoberta no plugin EmbedPress para WordPress. Esta falha permite a inclusão de arquivos PHP local (LFI), possibilitando a execução remota de código por um atacante. A vulnerabilidade afeta versões do EmbedPress anteriores ou iguais a 4.0.9, e foi corrigida na versão 4.0.10.
A exploração bem-sucedida desta vulnerabilidade permite que um atacante inclua arquivos arbitrários no servidor, potencialmente levando à execução remota de código. Isso significa que um invasor pode obter acesso não autorizado ao sistema, ler informações confidenciais, modificar arquivos existentes ou até mesmo assumir o controle completo do servidor WordPress. A inclusão de arquivos PHP local pode ser usada para injetar código malicioso, como webshells, que fornecem um ponto de acesso persistente para o atacante. A gravidade da vulnerabilidade é alta devido ao potencial de comprometer a integridade e a confidencialidade dos dados.
A vulnerabilidade foi divulgada em 19 de agosto de 2024. Não há evidências de exploração ativa em campanhas direcionadas, mas a disponibilidade de um exploit público é provável devido à natureza da vulnerabilidade de path traversal. A ausência de um registro no KEV (CISA Known Exploited Vulnerabilities) indica que, até o momento, não há evidências de exploração generalizada em ambientes governamentais ou críticos.
Websites utilizing the EmbedPress plugin, particularly those running older versions (≤4.0.9), are at risk. Shared hosting environments where server file permissions are less restrictive are especially vulnerable, as are sites with misconfigured PHP environments that allow for arbitrary file inclusion.
• wordpress / composer / npm:
grep -r "../" /var/www/html/wp-content/plugins/embedpress/• wordpress / composer / npm:
wp plugin list --status=active | grep embedpress• wordpress / composer / npm:
wp plugin update embedpress --alldisclosure
Status do Exploit
EPSS
1.18% (percentil 79%)
CISA SSVC
Vetor CVSS
A mitigação primária é atualizar o plugin EmbedPress para a versão 4.0.10 ou superior. Se a atualização imediata não for possível, considere implementar medidas de segurança adicionais, como restringir o acesso ao diretório de uploads do WordPress e desativar a execução de PHP nos diretórios de uploads. Implementar regras de firewall de aplicação web (WAF) para bloquear solicitações que contenham caracteres de path traversal (../) pode ajudar a mitigar o risco. Monitore os logs do servidor WordPress em busca de tentativas de acesso a arquivos não autorizados.
Actualiza el plugin EmbedPress a la última versión disponible. La vulnerabilidad de inclusión de archivos locales (LFI) se corrige en versiones posteriores a la 4.0.9. Para actualizar, ve al panel de administración de WordPress, luego a la sección de 'Plugins' y busca 'EmbedPress'. Haz clic en 'Actualizar' si hay una versión más reciente disponible.
Análise de vulnerabilidades e alertas críticos diretamente no seu e-mail.
CVE-2024-43328 is a Path Traversal vulnerability in the EmbedPress WordPress plugin allowing attackers to potentially include arbitrary files, leading to sensitive data exposure or code execution.
Yes, if you are using EmbedPress version 4.0.9 or earlier, you are vulnerable to this Path Traversal vulnerability.
Upgrade the EmbedPress plugin to version 4.0.10 or later to resolve the vulnerability. Consider temporary workarounds like WAF rules if immediate upgrade is not possible.
There is currently no confirmed evidence of active exploitation, but the vulnerability's nature makes it a potential target.
Refer to the EmbedPress website and WordPress plugin repository for the official advisory and update information.
Envie seu arquivo de dependências e descubra na hora se esta e outras CVEs te atingem.
Envie seu arquivo de dependências e descubra na hora se esta e outras CVEs te atingem.