WordPress Global Gateway e4 plugin <= 2.0 - Vulnerabilidade de Exclusão Arbitrária de Arquivos
Plataforma
wordpress
Componente
globe-gateway-e4
Corrigido em
2.0.1
Uma vulnerabilidade de Path Traversal foi identificada no Global Gateway e4 | Payeezy Gateway, permitindo acesso a arquivos arbitrários. Essa falha, classificada com CVSS 8.6 (ALTO), pode permitir que atacantes acessem informações confidenciais armazenadas no sistema. A vulnerabilidade afeta versões do Global Gateway e4 | Payeezy Gateway anteriores ou iguais a 2.0. A correção foi lançada na versão 2.0.1.
Detecte esta CVE no seu projeto
Envie seu arquivo de dependências e descubra na hora se esta e outras CVEs te atingem.
Impacto e Cenários de Ataque
A exploração bem-sucedida desta vulnerabilidade permite que um atacante contorne as restrições de diretório e acesse arquivos arbitrários no servidor onde o Global Gateway e4 | Payeezy Gateway está instalado. Isso pode incluir arquivos de configuração, logs, ou até mesmo código-fonte, expondo informações sensíveis como credenciais de banco de dados, chaves de API e dados de clientes. Um atacante poderia, por exemplo, ler o arquivo /etc/passwd em um sistema Linux, obtendo informações sobre os usuários do sistema. A extensão do impacto depende do nível de acesso que o atacante consegue obter e da sensibilidade dos arquivos acessados.
Contexto de Exploração
A vulnerabilidade foi divulgada em 14 de novembro de 2024. Não há informações disponíveis sobre exploração ativa ou inclusão no KEV (CISA Known Exploited Vulnerabilities) no momento da redação. A existência de um Proof of Concept (PoC) público é desconhecida. Recomenda-se monitorar as fontes de inteligência de ameaças para atualizações.
Quem Está em Riscotraduzindo…
WordPress websites utilizing the Global Gateway e4 | Payeezy Gateway plugin, particularly those running versions 2.0 or earlier, are at significant risk. Shared hosting environments where file permissions are not strictly controlled are also more vulnerable, as an attacker could potentially leverage this vulnerability to access files belonging to other users on the same server.
Passos de Detecçãotraduzindo…
• wordpress / composer / npm:
grep -r "../" /var/www/html/wp-content/plugins/global-gateway-e4-payeezy-gateway/• generic web:
curl -I 'https://your-website.com/../../../../etc/passwd' # Check for file disclosureLinha do Tempo do Ataque
- Disclosure
disclosure
Inteligência de Ameaças
Status do Exploit
EPSS
0.22% (percentil 44%)
CISA SSVC
Vetor CVSS
O que significam essas métricas?
- Attack Vector
- Rede — explorável remotamente pela internet. Sem acesso físico ou local necessário.
- Attack Complexity
- Baixa — sem condições especiais. O atacante pode explorar de forma confiável.
- Privileges Required
- Nenhum — sem autenticação necessária para explorar.
- User Interaction
- Nenhuma — ataque automático e silencioso. A vítima não faz nada.
- Scope
- Alterado — o ataque pode pivotar para além do componente vulnerável.
- Confidentiality
- Nenhum — sem impacto na confidencialidade.
- Integrity
- Nenhum — sem impacto na integridade.
- Availability
- Alto — falha completa ou esgotamento de recursos. Negação de serviço total.
Software Afetado
Classificação de Fraqueza (CWE)
Linha do tempo
- Reservado
- Publicada
- Modificada
- EPSS atualizado
Mitigação e Soluções Alternativas
A mitigação primária é atualizar o Global Gateway e4 | Payeezy Gateway para a versão 2.0.1 ou superior, que corrige a vulnerabilidade. Se a atualização imediata não for possível, considere implementar medidas de segurança adicionais, como restringir o acesso ao diretório de instalação do Gateway através de regras de firewall ou WAF (Web Application Firewall). Monitore os logs do servidor em busca de tentativas de acesso a arquivos fora do diretório esperado. Implementar uma política de least privilege para o usuário que executa o Gateway também pode limitar o impacto caso a vulnerabilidade seja explorada.
Como corrigirtraduzindo…
Actualice el plugin Global Gateway e4 | Payeezy Gateway a una versión posterior a la 2.0. Si no hay una versión disponible, considere deshabilitar o eliminar el plugin hasta que se publique una versión corregida. Consulte el sitio web del proveedor para obtener más información y actualizaciones.
Boletim de Segurança CVE
Análise de vulnerabilidades e alertas críticos diretamente no seu e-mail.
Perguntas frequentestraduzindo…
What is CVE-2024-52371 — Arbitrary File Access in Global Gateway e4?
CVE-2024-52371 is a HIGH severity vulnerability allowing attackers to read files on a server through path manipulation. It affects Global Gateway e4 | Payeezy Gateway versions up to 2.0.
Am I affected by CVE-2024-52371 in Global Gateway e4?
If you are using Global Gateway e4 | Payeezy Gateway version 2.0 or earlier, you are potentially affected. Upgrade to 2.0.1 to mitigate the risk.
How do I fix CVE-2024-52371 in Global Gateway e4?
Upgrade to version 2.0.1 of the Global Gateway e4 | Payeezy Gateway plugin. If upgrading is not immediately possible, implement file access controls and WAF rules.
Is CVE-2024-52371 being actively exploited?
While no active exploitation is confirmed, the vulnerability's nature suggests it could be exploited once a proof-of-concept is released.
Where can I find the official Global Gateway e4 advisory for CVE-2024-52371?
Refer to the vendor's official security advisory for the most up-to-date information and guidance: [DonnellC Security Advisory - Replace with actual link when available]
Seu projeto está afetado?
Envie seu arquivo de dependências e descubra na hora se esta e outras CVEs te atingem.