Plugin WordPress ABCApp Creator <= 1.1.2 - Vulnerabilidade de Inclusão de Arquivo Local (Local File Inclusion)

A exploração bem-sucedida desta vulnerabilidade permite que um atacante leia arquivos arbitrários no sistema de arquivos do servidor. Isso pode incluir arquivos de configuração, código-fonte, arquivos de log e outros dados sensíveis. Em um cenário de ataque, um invasor poderia usar essa vulnerabilidade para obter informações confidenciais, como credenciais de banco de dados ou chaves de API, que poderiam ser usadas para comprometer ainda mais o sistema. A inclusão de arquivos locais também pode ser usada para executar código malicioso no servidor, dependendo das permissões do usuário sob o qual o ABCApp Creator está sendo executado. A extensão do impacto dependerá do acesso que o atacante obtém aos arquivos e da capacidade de explorar as informações roubadas.

Websites utilizing ABCApp Creator, particularly those running older versions (≤1.1.2), are at risk. Shared hosting environments are especially vulnerable as they often have limited control over server configurations and file permissions. Sites with misconfigured file access controls or inadequate WAF protection are also at increased risk.

• wordpress / composer / npm:

grep -r '../' /var/www/html/wp-content/plugins/abcapp-creator/*

• generic web:

curl -I 'http://your-website.com/index.php?page=../../../../etc/passwd'

• wordpress / composer / npm:

wp plugin list --status=inactive | grep abcapp-creator

• wordpress / composer / npm:

find /var/www/html/wp-content/plugins/abcapp-creator/ -name '*.php' -print0 | xargs -0 grep -i 'include('

1. 2024-10-05Disclosure

   disclosure

1. Reservado2024-08-18
2. Publicada2024-10-05
3. Modificada2024-10-07
4. EPSS atualizado2026-04-02

A mitigação primária para esta vulnerabilidade é atualizar o ABCApp Creator para a versão 1.1.3 ou superior, que inclui a correção. Se a atualização imediata não for possível, considere implementar medidas de segurança adicionais, como restringir o acesso ao diretório de instalação do ABCApp Creator e monitorar os logs do servidor em busca de atividades suspeitas. Implementar regras em um Web Application Firewall (WAF) para bloquear solicitações que contenham caracteres de path traversal (../) pode ajudar a mitigar o risco. Verifique as permissões de arquivos e diretórios para garantir que o usuário sob o qual o ABCApp Creator está sendo executado tenha apenas as permissões mínimas necessárias.