WordPress WP Cookies Enabler 插件 <= 1.0.1 - 路径遍历漏洞 (Local File Inclusion vulnerability)
平台
wordpress
组件
wp-cookies-enabler
修复版本
1.0.2
CVE-2024-54380 描述了 WP Cookies Enabler 插件中的路径遍历漏洞。该漏洞允许攻击者通过构造恶意请求，包含位于受限制目录之外的文件，从而可能导致敏感信息泄露或代码执行。该漏洞影响 WP Cookies Enabler 的所有版本低于或等于 1.0.1。已发布补丁版本 1.0.2。
检测此 CVE 是否影响你的项目
上传你的依赖文件，立即了解此CVE和其他CVE是否影响你。
影响与攻击场景
攻击者可以利用此漏洞读取服务器上的任意文件，包括配置文件、源代码和其他敏感数据。如果攻击者能够读取包含数据库凭据的文件，他们可能能够访问数据库并窃取数据。更严重的后果是，攻击者可能能够利用此漏洞执行恶意代码，从而完全控制受影响的 WordPress 站点。这种攻击模式类似于其他本地文件包含漏洞，可能导致数据泄露、网站篡改甚至服务器被攻陷。
利用背景
目前尚未公开发现针对此漏洞的利用代码，但由于其严重性和易于利用性，预计未来可能会出现。该漏洞已于 2024 年 12 月 16 日公开披露。建议密切关注安全社区的动态，并及时采取缓解措施。
哪些人处于风险中翻译中…
Websites using the WP Cookies Enabler plugin, particularly those running older versions (≤1.0.1), are at risk. Shared hosting environments are especially vulnerable, as they often have limited control over plugin updates and security configurations. Sites with weak file access permissions or inadequate WAF protection are also at increased risk.
检测步骤翻译中…
• wordpress / composer / npm:
grep -r "../" /var/www/html/wp-content/plugins/wp-cookies-enabler/• generic web:
curl -I 'https://your-wordpress-site.com/wp-content/plugins/wp-cookies-enabler/../../../../etc/passwd' # Check for file disclosure攻击时间线
- Disclosure
disclosure
威胁情报
漏洞利用状态
EPSS
0.18% (40% 百分位)
CISA SSVC
CVSS 向量
这些指标意味着什么？
- Attack Vector
- 网络 — 可通过互联网远程利用，无需物理或本地访问。攻击面最大。
- Attack Complexity
- 高 — 需要竞态条件、非默认配置或特定情况。难以可靠利用。
- Privileges Required
- 无 — 无需认证，无需凭证即可利用。
- User Interaction
- 需要 — 受害者必须打开文件、点击链接或访问特制页面。
- Scope
- 未改变 — 影响仅限于脆弱组件本身。
- Confidentiality
- 高 — 完全丧失机密性，攻击者可读取所有数据。
- Integrity
- 高 — 攻击者可写入、修改或删除任何数据。
- Availability
- 高 — 完全崩溃或资源耗尽，完全拒绝服务。
受影响的软件
软件包信息
- 活跃安装数
- 10
- 插件评分
- 5.0
- 需要WordPress版本
- 3.0.1+
- 兼容至
- 4.4.34
弱点分类 (CWE)
时间线
- 已保留
- 发布日期
- EPSS 更新日期
缓解措施和替代方案
最有效的缓解措施是立即将 WP Cookies Enabler 升级至 1.0.2 版本或更高版本。如果无法立即升级，可以尝试限制插件的访问权限，并确保服务器上的文件权限设置正确。此外，可以考虑使用 Web 应用防火墙 (WAF) 来检测和阻止恶意请求。监控 WordPress 站点的访问日志，查找可疑的文件包含尝试，例如包含 ../ 的 URL。
修复方法翻译中…
Actualice el plugin WP Cookies Enabler a la última versión disponible. Si no hay una versión más reciente, considere deshabilitar o eliminar el plugin hasta que se publique una actualización que corrija la vulnerabilidad. Consulte el sitio web del desarrollador para obtener más información y actualizaciones.
CVE 安全通讯
漏洞分析和关键警报直接发送到您的邮箱。
常见问题
什么是 CVE-2024-54380 — 路径遍历漏洞在 WP Cookies Enabler 中？
CVE-2024-54380 是 WP Cookies Enabler 插件中的一个安全漏洞，允许攻击者通过构造恶意请求包含服务器上的任意文件。
我是否受到 CVE-2024-54380 在 WP Cookies Enabler 中影响？
如果您正在使用 WP Cookies Enabler 的 1.0.1 或更早版本，则您可能受到此漏洞的影响。
我如何修复 CVE-2024-54380 在 WP Cookies Enabler 中？
将 WP Cookies Enabler 升级至 1.0.2 或更高版本以修复此漏洞。
CVE-2024-54380 是否正在被积极利用？
目前尚未公开发现针对此漏洞的利用代码，但由于其严重性，预计未来可能会出现。
在哪里可以找到 WP Cookies Enabler 中 CVE-2024-54380 的官方公告？
请访问 WP Cookies Enabler 插件的官方网站或 WordPress 插件目录以获取更多信息。