MIPL WC Multisite Sync <= 1.1.5 - 未认证任意文件下载
平台
wordpress
组件
mipl-wc-multisite-sync
修复版本
1.1.6
CVE-2024-12152 描述了 WordPress 插件 MIPL WC Multisite Sync 中存在的任意文件访问漏洞。该漏洞允许未经身份验证的攻击者通过 'miplwcsyncdownloadlog' 操作读取服务器上的任意文件，从而可能泄露敏感数据。受影响的版本包括 1.1.5 及更早版本。已于 2025 年 1 月 7 日公开，建议用户尽快采取措施。
检测此 CVE 是否影响你的项目
上传你的依赖文件，立即了解此CVE和其他CVE是否影响你。
影响与攻击场景
攻击者可以利用此漏洞访问服务器上的任何文件，这可能导致敏感信息泄露，例如数据库凭据、API 密钥、配置文件或其他包含敏感数据的文档。攻击者可以利用此漏洞获取对服务器的更深层次的访问权限，甚至可能执行恶意代码。由于该漏洞无需身份验证，因此攻击面非常广，任何安装了受影响插件的 WordPress 站点都可能受到威胁。如果服务器上存储了用户数据，则可能导致数据泄露和隐私侵犯。
利用背景
目前尚无公开的利用代码，但由于漏洞的严重性和易用性，预计未来可能会出现。该漏洞已于 2025 年 1 月 7 日公开，并被添加到 NVD 数据库中。CISA 尚未将其添加到 KEV 目录中，但其高 CVSS 评分表明存在潜在风险。
哪些人处于风险中翻译中…
WordPress websites using the MIPL WC Multisite Sync plugin, particularly those with default or overly permissive file permissions, are at risk. Shared hosting environments where users have limited control over server configuration are also particularly vulnerable.
检测步骤翻译中…
• wordpress / composer / npm:
grep -r 'mipl_wc_sync_download_log' /var/www/html/wp-content/plugins/• generic web:
curl -I https://your-wordpress-site.com/wp-content/plugins/mipl-wc-multisite-sync/mipl_wc_sync_download_log.php• wordpress / composer / npm:
wp plugin list | grep 'MIPL WC Multisite Sync'• wordpress / composer / npm:
wp plugin update --all攻击时间线
- Disclosure
disclosure
威胁情报
漏洞利用状态
EPSS
5.81% (90% 百分位)
CISA SSVC
CVSS 向量
这些指标意味着什么？
- Attack Vector
- 网络 — 可通过互联网远程利用，无需物理或本地访问。攻击面最大。
- Attack Complexity
- 低 — 无需特殊条件，可以稳定地利用漏洞。
- Privileges Required
- 无 — 无需认证，无需凭证即可利用。
- User Interaction
- 无 — 攻击自动且无声，受害者无需任何操作。
- Scope
- 未改变 — 影响仅限于脆弱组件本身。
- Confidentiality
- 高 — 完全丧失机密性，攻击者可读取所有数据。
- Integrity
- 无 — 无完整性影响。
- Availability
- 无 — 无可用性影响。
受影响的软件
软件包信息
- 活跃安装数
- 100小众
- 插件评分
- 4.4
- 需要WordPress版本
- 5.1+
- 兼容至
- 7.0
- 需要PHP版本
- 7.4+
弱点分类 (CWE)
时间线
- 已保留
- 发布日期
- EPSS 更新日期
缓解措施和替代方案
最有效的缓解措施是升级到修复后的 MIPL WC Multisite Sync 版本。如果无法立即升级，可以考虑以下临时措施：限制对 'miplwcsyncdownloadlog' 操作的访问权限，例如通过修改 WordPress 权限或使用 Web 应用防火墙 (WAF) 阻止可疑请求。此外，定期审查服务器上的文件权限，确保只有授权用户才能访问敏感文件。监控 WordPress 站点日志，查找任何异常活动或未经授权的文件访问尝试。
修复方法翻译中…
Actualice el plugin MIPL WC Multisite Sync a la última versión disponible. La vulnerabilidad permite la descarga de archivos arbitrarios sin autenticación, por lo que es crucial actualizar para proteger la información sensible del servidor.
CVE 安全通讯
漏洞分析和关键警报直接发送到您的邮箱。
常见问题
什么是 CVE-2024-12152 — 任意文件访问漏洞在 MIPL WC Multisite Sync?
CVE-2024-12152 是 WordPress 插件 MIPL WC Multisite Sync 中发现的目录遍历漏洞，允许攻击者读取服务器上的任意文件。
我是否受到 CVE-2024-12152 在 MIPL WC Multisite Sync 中的影响?
如果您正在使用 MIPL WC Multisite Sync 插件的版本低于或等于 1.1.5，则您可能受到影响。
我如何修复 CVE-2024-12152 在 MIPL WC Multisite Sync 中的漏洞?
升级到 MIPL WC Multisite Sync 插件的最新版本。如果无法升级，请采取缓解措施，例如限制对相关操作的访问。
CVE-2024-12152 是否正在被积极利用?
目前尚无公开的利用代码，但由于漏洞的严重性，预计未来可能会出现。
在哪里可以找到 MIPL WC Multisite Sync 官方针对 CVE-2024-12152 的公告?
请查阅 MIPL 官方网站或 WordPress 插件目录以获取最新信息和公告。