File Manager Pro – Filester <= 1.8.5 - Inclusão Local de Arquivo JavaScript Autenticado (Administrador+)

A vulnerabilidade JSFI no Filester permite que um atacante autenticado, com acesso de administrador, inclua e execute arquivos arbitrários no servidor WordPress. Isso significa que o atacante pode potencialmente executar código malicioso, como scripts PHP, que podem comprometer a segurança do site. O atacante pode obter acesso a dados sensíveis armazenados no servidor, como informações de usuários, credenciais de banco de dados e arquivos de configuração. Além disso, o atacante pode usar essa vulnerabilidade para escalar privilégios, obter controle total sobre o servidor e realizar ataques adicionais, como a instalação de malware ou a defacement do site. A capacidade de incluir arquivos arbitrários abre um leque de possibilidades para exploração, especialmente se o atacante conseguir enviar arquivos aparentemente inofensivos (como imagens) que possam ser incluídos e executados.

WordPress websites utilizing the Filester plugin, particularly those with administrator accounts that have not been secured with strong passwords and multi-factor authentication, are at risk. Shared hosting environments where plugin updates are not managed centrally are also particularly vulnerable.

• wordpress / composer / npm:

grep -r 'fm_locale' /var/www/html/wp-content/plugins/filester/

• wordpress / composer / npm:

wp plugin list --status=all | grep filester

• wordpress / composer / npm:

wp plugin update filester --all

1. 2024-11-27Disclosure

   disclosure

1. Reservado2024-10-08
2. Publicada2024-11-27
3. Modificada2026-01-23
4. EPSS atualizado2026-04-02

A mitigação primária para a vulnerabilidade CVE-2024-9669 é atualizar o plugin Filester para a versão 1.8.6 ou superior, que corrige a falha. Se a atualização imediata não for possível devido a problemas de compatibilidade ou tempo de inatividade, considere as seguintes medidas temporárias: restrinja o acesso ao painel de administração do WordPress, implemente regras de firewall (WAF) para bloquear solicitações suspeitas que tentem incluir arquivos arbitrários, e monitore os logs do servidor em busca de atividades incomuns. Verifique se o plugin Filester está configurado para permitir apenas o upload de tipos de arquivos seguros e desative qualquer funcionalidade que permita a inclusão de arquivos externos. Após a atualização, confirme a correção da vulnerabilidade verificando se o parâmetro 'fm_locale' não permite mais a inclusão de arquivos arbitrários.

Instalações ativas

100KNicho

Avaliação do plugin