平台
wordpress
组件
wp-cafe
修复版本
2.2.29
CVE-2024-43135 描述了 Themewinter WPCafe WordPress 插件中的一个路径遍历漏洞。该漏洞允许攻击者通过构造恶意请求，包含位于受限目录之外的PHP文件，从而可能导致敏感信息泄露或代码执行。该漏洞影响 WPCafe 的所有版本，从最初版本到 2.2.28。 Themewinter 已发布补丁版本 2.2.29 以解决此问题。
攻击者可以利用此路径遍历漏洞读取服务器上的任意文件，包括包含敏感信息的文件，例如数据库凭据、API 密钥或源代码。成功利用此漏洞可能导致攻击者完全控制受影响的 WordPress 站点。攻击者可以修改网站内容、注入恶意代码或窃取用户数据。由于 WordPress 插件的广泛使用，此漏洞可能影响大量网站，造成广泛的安全风险。类似于其他文件包含漏洞，攻击者可能利用此漏洞执行任意代码，从而完全控制受影响的服务器。
CVE-2024-43135 已于 2024 年 8 月 13 日公开披露。目前尚无公开的利用代码 (PoC)，但由于该漏洞的严重性和易于利用性，预计未来可能会出现。该漏洞尚未被添加到 CISA KEV 目录，但应密切关注其发展情况。建议密切监控 WPCafe 插件的使用情况，并及时采取必要的安全措施。
WordPress websites utilizing the WPCafe plugin, particularly those running versions prior to 2.2.29, are at risk. Shared hosting environments where users have limited control over plugin updates and server configurations are especially vulnerable. Sites with weak file permissions or inadequate security hardening are also at increased risk.
• wordpress / composer / npm:
grep -r "../" /var/www/html/wp-content/plugins/wpcafe/• wordpress / composer / npm:
wp plugin list --status=inactive | grep wpcafe• wordpress / composer / npm:
curl -I http://your-wordpress-site.com/wp-content/plugins/wpcafe/wp-cafe.php?page=../../../../etc/passwd | head -n 1disclosure
漏洞利用状态
EPSS
1.66% (82% 百分位)
CISA SSVC
CVSS 向量
缓解此漏洞的首要措施是立即将 WPCafe WordPress 插件升级到版本 2.2.29 或更高版本。如果无法立即升级，可以考虑回滚到之前的稳定版本，但请注意这可能引入其他已知漏洞。作为临时措施，可以配置 Web 应用防火墙 (WAF) 或反向代理服务器，以阻止包含恶意路径字符的请求。此外，应审查 WPCafe 插件的配置，确保其只允许访问必要的资源。升级后，请验证插件是否正常运行，并检查服务器日志中是否存在任何异常活动。
Actualiza el plugin WPCafe a la última versión disponible. Si no hay una versión más reciente, considera deshabilitar o eliminar el plugin hasta que se publique una actualización que corrija la vulnerabilidad. Revisa las notas de la versión para confirmar que la vulnerabilidad ha sido solucionada.
漏洞分析和关键警报直接发送到您的邮箱。
CVE-2024-43135 是 Themewinter WPCafe WordPress 插件中的一个路径遍历漏洞，允许攻击者包含受限目录之外的 PHP 文件，可能导致敏感信息泄露或代码执行。
如果您正在使用 WPCafe WordPress 插件的版本小于等于 2.2.28，则您可能受到此漏洞的影响。请立即升级到 2.2.29 或更高版本。
修复此漏洞的最佳方法是立即将 WPCafe WordPress 插件升级到版本 2.2.29 或更高版本。
目前尚无公开的利用代码，但由于该漏洞的严重性和易于利用性，预计未来可能会出现。
请访问 Themewinter 的官方网站或 WordPress 插件目录，以获取有关 CVE-2024-43135 的官方公告和更新。
上传你的依赖文件，立即了解此CVE和其他CVE是否影响你。