Plataforma
wordpress
Componente
cowidgets-elementor-addons
Corrigido em
1.1.2
A vulnerabilidade de Inclusão de Arquivo Local (LFI) identificada como CVE-2024-5179 afeta o plugin Cowidgets – Elementor Addons para WordPress. Atacantes autenticados com permissões de Contributor ou superiores podem explorar essa falha para incluir e executar arquivos arbitrários no servidor. A vulnerabilidade está presente em todas as versões até, e incluindo, 1.1.1. A correção foi publicada e a atualização para a versão mais recente é a solução recomendada.
Um atacante que explore com sucesso a CVE-2024-5179 pode obter acesso não autorizado ao servidor WordPress. Ao incluir e executar código PHP arbitrário, o atacante pode ler arquivos de configuração, modificar dados, instalar malware ou até mesmo assumir o controle total do servidor. A capacidade de executar código arbitrário representa um risco significativo, permitindo a exfiltração de dados confidenciais, a manipulação de conteúdo do site e a utilização do servidor para atividades maliciosas. A vulnerabilidade é particularmente preocupante devido à facilidade com que pode ser explorada por atacantes com permissões relativamente baixas dentro do WordPress.
A CVE-2024-5179 foi divulgada em 6 de junho de 2024. Não há informações disponíveis sobre exploração ativa em campanhas em larga escala no momento da redação. A vulnerabilidade não está listada no KEV (CISA Known Exploited Vulnerabilities) nem possui uma pontuação EPSS. A existência de uma vulnerabilidade LFI com potencial de execução de código arbitrário a torna um alvo atraente para atacantes, e a ausência de um PoC público não garante a segurança.
Websites using the Cowidgets – Elementor Addons plugin, particularly those with multiple users having Contributor or higher access levels, are at risk. Shared hosting environments where multiple WordPress sites share the same server resources are also at increased risk, as a compromise on one site could potentially lead to the compromise of others.
• wordpress / composer / npm:
grep -r 'item_style|style' /var/www/html/wp-content/plugins/cowidgets-elementor-addons/• wordpress / composer / npm:
wp plugin list --status=active | grep cowidgets-elementor-addons• wordpress / composer / npm:
curl -I http://your-wordpress-site.com/wp-content/plugins/cowidgets-elementor-addons/ | grep -i 'item_style' # Check for parameter exposuredisclosure
Status do Exploit
EPSS
0.33% (percentil 56%)
CISA SSVC
Vetor CVSS
A mitigação primária para a CVE-2024-5179 é a atualização imediata do plugin Cowidgets – Elementor Addons para a versão corrigida. Se a atualização imediata não for possível devido a problemas de compatibilidade ou tempo de inatividade, considere as seguintes medidas temporárias: restrinja o acesso a arquivos sensíveis no servidor, implemente regras de firewall (WAF) para bloquear solicitações suspeitas que tentem incluir arquivos não autorizados e monitore os logs do servidor em busca de atividades anormais. Além disso, revise as permissões de usuário no WordPress para garantir que apenas usuários confiáveis tenham acesso de edição. Após a atualização, confirme a correção verificando se os parâmetros 'item_style' e 'style' não permitem mais a inclusão de arquivos arbitrários.
Actualice el plugin Cowidgets – Elementor Addons a la última versión disponible. La vulnerabilidad permite la inclusión de archivos locales, lo que podría permitir la ejecución de código PHP arbitrario en el servidor.
Análise de vulnerabilidades e alertas críticos diretamente no seu e-mail.
CVE-2024-5179 is a Local File Inclusion vulnerability in the Cowidgets – Elementor Addons plugin for WordPress, allowing authenticated attackers to execute arbitrary PHP code.
You are affected if you are using Cowidgets – Elementor Addons version 1.1.1 or earlier.
Upgrade Cowidgets – Elementor Addons to the latest patched version. If immediate upgrade is not possible, restrict file upload permissions and implement input validation.
As of now, there are no known public exploits or active campaigns targeting CVE-2024-5179, but it remains a potential target.
Refer to the Cowidgets official website or WordPress plugin repository for updates and advisories related to CVE-2024-5179.
Envie seu arquivo de dependências e descubra na hora se esta e outras CVEs te atingem.
Envie seu arquivo de dependências e descubra na hora se esta e outras CVEs te atingem.