Plataforma
wordpress
Componente
wp-bootscraper
Corrigido em
2.1.1
Uma vulnerabilidade de Path Traversal foi descoberta no plugin Bootscraper para WordPress. Essa falha, classificada com severidade ALTA (CVSS 7.5), permite a Inclusão de Arquivo Local (LFI) via PHP, possibilitando que um atacante acesse arquivos arbitrários no servidor. A vulnerabilidade afeta versões do Bootscraper anteriores ou iguais a 2.1.0. A correção foi disponibilizada na versão 2.1.1.
A vulnerabilidade de Path Traversal no Bootscraper permite que um atacante explore a falta de validação adequada de caminhos de arquivo. Ao manipular a entrada do usuário, um invasor pode injetar caminhos maliciosos que apontam para arquivos fora do diretório pretendido. Com sucesso, o atacante pode ler o conteúdo desses arquivos, potencialmente expondo informações sensíveis como arquivos de configuração, chaves de API, ou até mesmo código-fonte do WordPress ou de outros plugins. Em cenários mais graves, a exploração bem-sucedida de uma LFI pode ser um passo para a escalada de privilégios ou a execução de código remoto, dependendo dos arquivos acessados e das permissões do servidor.
A vulnerabilidade foi divulgada em 20 de novembro de 2024. Não há informações disponíveis sobre exploração ativa em campanhas direcionadas. Não está listada no KEV (CISA Known Exploited Vulnerabilities) no momento da redação. A existência de um Proof of Concept (PoC) público pode aumentar o risco de exploração, portanto, a aplicação das medidas de mitigação é crucial.
WordPress websites utilizing the Navneil Bootscraper plugin, particularly those running older versions (≤2.1.0), are at risk. Shared hosting environments where server file permissions are less tightly controlled are especially vulnerable, as attackers may be able to leverage the vulnerability to access files belonging to other users on the same server.
• wordpress / composer / npm:
grep -r "../" /var/www/html/wp-content/plugins/bootscraper/• generic web:
curl -I 'http://your-wordpress-site.com/wp-content/plugins/bootscraper/../../../../etc/passwd' # Check for file disclosuredisclosure
Status do Exploit
EPSS
0.59% (percentil 69%)
CISA SSVC
Vetor CVSS
A mitigação primária para a vulnerabilidade CVE-2024-52449 é a atualização imediata do plugin Bootscraper para a versão 2.1.1 ou superior. Se a atualização imediata não for possível devido a incompatibilidades com outros plugins ou temas, considere implementar medidas de segurança adicionais, como restringir o acesso ao diretório do plugin através de permissões de arquivo no servidor. Implementar um Web Application Firewall (WAF) com regras para bloquear solicitações com caminhos de arquivo suspeitos também pode ajudar a mitigar o risco. Monitore os logs do servidor em busca de tentativas de acesso a arquivos fora do diretório esperado.
Actualice el plugin Bootscraper a la última versión disponible. Si no hay una versión más reciente, considere desinstalar el plugin hasta que se publique una versión corregida. Esto evitará la explotación de la vulnerabilidad de inclusión de archivos locales.
Análise de vulnerabilidades e alertas críticos diretamente no seu e-mail.
CVE-2024-52449 is a Path Traversal vulnerability in the Navneil Bootscraper WordPress plugin, allowing attackers to potentially include arbitrary files on the server.
Yes, if you are using Bootscraper version 2.1.0 or earlier, you are affected by this vulnerability.
Upgrade the Bootscraper plugin to version 2.1.1 or later to resolve the vulnerability. Consider temporary workarounds if immediate upgrade is not possible.
While no widespread exploitation has been confirmed, the ease of exploitation suggests a potential for active scanning and attacks.
Refer to the official Navneil Bootscraper plugin page or WordPress.org plugin repository for the latest advisory and update information.
Envie seu arquivo de dependências e descubra na hora se esta e outras CVEs te atingem.
Envie seu arquivo de dependências e descubra na hora se esta e outras CVEs te atingem.