平台
wordpress
组件
jetgridbuilder
修复版本
1.1.3
CVE-2024-43221 描述了 Crocoblock JetGridBuilder 中的路径遍历漏洞，允许攻击者进行 PHP 本地文件包含。该漏洞可能导致敏感信息泄露或恶意代码执行，严重威胁网站安全。该漏洞影响 JetGridBuilder 的 n/a 版本到 1.1.2 版本。Crocoblock 已发布 1.1.3 版本以修复此问题。
攻击者可以利用此路径遍历漏洞，通过构造恶意的 URL 请求，访问服务器上的任意文件。这可能导致攻击者读取敏感配置文件、源代码或其他包含敏感信息的文档。更严重的情况下，攻击者可以利用本地文件包含功能，执行任意 PHP 代码，完全控制受影响的网站。由于该漏洞允许本地文件包含，攻击者可能能够上传恶意文件并执行，从而进一步扩大攻击范围。此漏洞的潜在影响包括数据泄露、网站篡改、甚至服务器被完全控制。
该漏洞已公开披露，存在公开的利用代码。目前尚无关于该漏洞被大规模利用的公开报告，但由于其易于利用，存在被攻击者的利用的可能性。CISA 尚未将其添加到 KEV 目录。建议密切关注安全社区的动态，及时了解最新的漏洞信息。
WordPress websites utilizing the Crocoblock JetGridBuilder plugin, particularly those running versions prior to 1.1.3, are at risk. Shared hosting environments where multiple WordPress installations share the same server resources are especially vulnerable, as a compromise of one site could potentially lead to the compromise of others.
• wordpress / composer / npm:
grep -r "../" /var/www/html/wp-content/plugins/jetgridbuilder/*• generic web:
curl -I 'http://your-wordpress-site.com/wp-content/plugins/jetgridbuilder/../../../../etc/passwd' # Check for file disclosuredisclosure
漏洞利用状态
EPSS
0.70% (72% 百分位)
CISA SSVC
CVSS 向量
最有效的缓解措施是立即将 JetGridBuilder 升级到 1.1.3 或更高版本。如果升级会导致兼容性问题，可以考虑回滚到之前的稳定版本，并暂时禁用 JetGridBuilder 的相关功能。此外，可以配置 Web 应用防火墙 (WAF) 或代理服务器，以过滤包含恶意路径的请求。建议审查 JetGridBuilder 的配置，确保文件上传目录的权限设置正确，并限制可上传的文件类型。使用安全扫描工具定期检查网站是否存在路径遍历漏洞。
Actualice el plugin JetGridBuilder a la última versión disponible. La vulnerabilidad de inclusión de archivos locales (LFI) se ha corregido en versiones posteriores a la 1.1.2. Si no hay una versión disponible, considere deshabilitar el plugin hasta que se publique una actualización.
漏洞分析和关键警报直接发送到您的邮箱。
CVE-2024-43221 是 Crocoblock JetGridBuilder 中的一个路径遍历漏洞，攻击者可以利用它访问服务器上的任意文件，可能导致敏感信息泄露或代码执行。
如果您正在使用 JetGridBuilder 的 n/a 版本到 1.1.2 版本，则可能受到此漏洞的影响。请立即检查您的版本并升级。
将 JetGridBuilder 升级到 1.1.3 或更高版本。如果升级导致问题，请考虑回滚到之前的稳定版本并禁用相关功能。
目前尚无大规模利用的公开报告，但由于漏洞易于利用，存在被攻击者的利用的可能性。
请访问 Crocoblock 的官方网站或安全公告页面，查找有关 CVE-2024-43221 的详细信息。
上传你的依赖文件，立即了解此CVE和其他CVE是否影响你。