平台
wordpress
组件
ekc-tournament-manager
修复版本
2.2.2
CVE-2024-49674 描述了 Lukas Huser EKC Tournament Manager 中的跨站请求伪造 (CSRF) 漏洞。该漏洞允许攻击者在未经授权的情况下执行操作，最严重的情况下，可以上传 Web Shell 并完全控制受影响的 Web 服务器。此漏洞影响 EKC Tournament Manager 的 2.2.1 及更早版本，建议用户尽快升级至 2.2.2 版本以解决此问题。
该 CSRF 漏洞的潜在影响非常严重。攻击者可以利用此漏洞在用户不知情的情况下执行恶意操作，例如修改配置、窃取敏感数据或上传恶意文件。最坏的情况下，攻击者可以上传 Web Shell，从而获得对服务器的完全控制权，并可能导致数据泄露、服务中断或进一步的攻击。由于 EKC Tournament Manager 通常用于管理体育赛事，因此攻击者可能还会尝试篡改赛事结果或影响比赛的公平性。这种漏洞的利用方式类似于其他 CSRF 漏洞，但上传 Web Shell 的能力使其危害性显著增加。
目前尚无公开的漏洞利用代码 (PoC)，但该漏洞的严重性表明其可能成为攻击者的目标。该漏洞已于 2024 年 10 月 31 日公开披露。由于其高 CVSS 评分和上传 Web Shell 的能力，该漏洞可能被添加到 CISA KEV 目录中。建议密切关注安全社区的动态，并及时采取必要的缓解措施。
Websites utilizing EKC Tournament Manager, particularly those with limited security controls or shared hosting environments, are at significant risk. Sites with outdated plugin versions and those lacking robust input validation are especially vulnerable.
• wordpress / composer / npm:
grep -r 'EKC Tournament Manager' /var/www/html/
wp plugin list• generic web:
curl -I https://your-website.com/wp-content/plugins/ekc-tournament-manager/disclosure
漏洞利用状态
EPSS
0.12% (32% 百分位)
CISA SSVC
CVSS 向量
最有效的缓解措施是立即将 EKC Tournament Manager 升级至 2.2.2 版本或更高版本。如果升级不可行，可以考虑以下临时缓解措施：实施严格的输入验证和输出编码，以防止恶意代码注入。使用 CSRF 令牌来保护关键操作，确保只有授权用户才能执行这些操作。限制 EKC Tournament Manager 的权限，使其只能访问必要的资源。监控服务器日志，以检测可疑活动，例如未经授权的文件上传。如果无法立即升级，建议禁用文件上传功能，直到修复程序可用。
将 EKC Tournament Manager 插件更新到最新可用版本。如果不存在可用版本，请考虑禁用插件，直到发布修复版本。请参阅开发人员网站以获取更多信息和更新。
漏洞分析和关键警报直接发送到您的邮箱。
CVE-2024-49674 是 EKC Tournament Manager 软件中的一个跨站请求伪造 (CSRF) 漏洞，允许攻击者在未经授权的情况下执行操作，最严重的情况下，可以上传 Web Shell。
如果您正在使用 EKC Tournament Manager 的 2.2.1 或更早版本，则您可能受到此漏洞的影响。请立即升级至 2.2.2 或更高版本。
最有效的修复方法是升级至 EKC Tournament Manager 2.2.2 或更高版本。如果无法升级，请实施临时缓解措施，例如使用 CSRF 令牌和限制文件上传权限。
目前尚无公开的漏洞利用代码，但由于其严重性，该漏洞可能成为攻击者的目标。
请访问 EKC Tournament Manager 的官方网站或 GitHub 仓库，查找有关此漏洞的公告和修复程序。
上传你的依赖文件，立即了解此CVE和其他CVE是否影响你。