Plataforma
wordpress
Componente
pdf-rechnungsverwaltung
Corrigido em
0.0.2
Uma vulnerabilidade de Path Traversal foi descoberta em PDF-Rechnungsverwaltung, permitindo a inclusão de arquivos locais (LFI) através de manipulação de caminho. Essa falha permite que um atacante acesse arquivos arbitrários no servidor, potencialmente expondo informações confidenciais. A vulnerabilidade afeta versões do PDF-Rechnungsverwaltung anteriores ou iguais a 0.0.1, sendo corrigida na versão 0.0.2.
A exploração bem-sucedida desta vulnerabilidade permite que um atacante leia arquivos arbitrários no sistema de arquivos do servidor onde o PDF-Rechnungsverwaltung está instalado. Isso pode incluir arquivos de configuração, logs, ou até mesmo código-fonte de outras aplicações. O impacto potencial é a exposição de informações sensíveis, como credenciais de banco de dados, chaves de API, ou dados de usuários. Em cenários mais graves, um atacante poderia usar essa vulnerabilidade para escalar privilégios e obter controle sobre o servidor, dependendo das permissões dos arquivos acessados e da configuração do ambiente. Embora a descrição não mencione explicitamente, a capacidade de ler arquivos de configuração poderia permitir a modificação de parâmetros do sistema, levando a um comprometimento ainda maior.
A vulnerabilidade foi divulgada em 2024-10-17. Não há informações disponíveis sobre exploração ativa ou inclusão no KEV (CISA Known Exploited Vulnerabilities) no momento da redação. A ausência de um Proof of Concept (PoC) público não diminui o risco, pois a exploração de Path Traversal é relativamente simples. Recomenda-se monitorar fontes de inteligência de ameaças para atualizações sobre a exploração desta vulnerabilidade.
WordPress websites utilizing the PDF-Rechnungsverwaltung plugin, particularly those running versions prior to 0.0.2, are at risk. Shared hosting environments where users have limited control over plugin configurations are especially vulnerable, as are systems with weak file access permissions.
• wordpress / composer / npm:
grep -r "../" /var/www/html/wp-content/plugins/pdf-rechnungsverwaltung/*• generic web:
curl -I 'http://your-wordpress-site.com/wp-content/plugins/pdf-rechnungsverwaltung/../../../../etc/passwd' # Attempt to access sensitive filesdisclosure
Status do Exploit
EPSS
0.33% (percentil 56%)
CISA SSVC
Vetor CVSS
A mitigação primária é atualizar o PDF-Rechnungsverwaltung para a versão 0.0.2 ou superior, que corrige a vulnerabilidade. Se a atualização imediata não for possível, implemente medidas de segurança adicionais. Restrinja o acesso ao diretório de instalação do PDF-Rechnungsverwaltung através de permissões de arquivo e diretório no servidor. Configure um Web Application Firewall (WAF) para bloquear requisições que contenham caracteres de path traversal, como '../'. Monitore os logs do servidor em busca de tentativas de acesso a arquivos inesperados ou padrões de requisição suspeitos. Após a atualização, confirme a correção verificando se a manipulação de caminho não resulta mais na inclusão de arquivos não autorizados.
Actualice el plugin PDF-Rechnungsverwaltung a una versión posterior a la 0.0.1. Si no hay una versión disponible, considere desinstalar el plugin hasta que se publique una versión corregida. Consulte la página del plugin en WordPress.org para obtener actualizaciones.
Análise de vulnerabilidades e alertas críticos diretamente no seu e-mail.
CVE-2024-49287 is a Path Traversal vulnerability affecting PDF-Rechnungsverwaltung versions up to 0.0.1, allowing attackers to potentially include arbitrary files on the server.
You are affected if you are using PDF-Rechnungsverwaltung version 0.0.1 or earlier. Upgrade to version 0.0.2 to resolve the vulnerability.
Upgrade PDF-Rechnungsverwaltung to version 0.0.2 or later. If immediate upgrade is not possible, implement temporary workarounds like WAF rules or file permission restrictions.
There is currently no evidence of CVE-2024-49287 being actively exploited in the wild.
Refer to the plugin developer's website or WordPress plugin repository for the official advisory and release notes regarding this vulnerability.
Envie seu arquivo de dependências e descubra na hora se esta e outras CVEs te atingem.
Envie seu arquivo de dependências e descubra na hora se esta e outras CVEs te atingem.