CVE-2024-52378 描述了 Labs64 DigiPass WordPress 插件中的路径遍历漏洞。该漏洞允许未经授权的用户访问服务器上的任意文件，可能导致敏感信息泄露或系统被篡改。该漏洞影响 DigiPass 0.3.0 及更早版本。已发布补丁版本 0.3.1，建议用户尽快更新。
攻击者可以利用此路径遍历漏洞，通过构造恶意请求访问服务器上的任意文件。这可能包括配置文件、数据库备份、源代码或其他敏感数据。如果攻击者能够访问服务器上的关键文件，他们可能能够完全控制服务器，执行恶意代码，或窃取敏感信息。该漏洞的潜在影响包括数据泄露、服务中断和系统被破坏。由于 DigiPass 插件通常用于存储和管理密码等敏感信息，因此该漏洞的风险尤其高。
该漏洞已公开披露，存在公开的利用代码。目前尚未观察到大规模的利用活动，但由于漏洞的易利用性，存在被利用的风险。建议密切关注安全社区的动态，并及时采取缓解措施。
WordPress websites utilizing the DigiPass plugin, particularly those running versions prior to 0.3.0, are at risk. Shared hosting environments where multiple websites share the same server resources are especially vulnerable, as a compromise of one site could potentially expose files on other sites.
• wordpress / composer / npm:
grep -r '../' /var/www/html/wp-content/plugins/digipass/*• generic web:
curl -I 'http://your-wordpress-site.com/wp-content/plugins/digipass/../../../../etc/passwd' # Check for file disclosuredisclosure
漏洞利用状态
EPSS
0.22% (44% 百分位)
CISA SSVC
CVSS 向量
最有效的缓解措施是立即将 DigiPass WordPress 插件升级到 0.3.1 或更高版本。如果无法立即升级，可以尝试使用 Web 应用防火墙 (WAF) 规则来阻止对可能触发路径遍历漏洞的请求。此外，应确保服务器上的文件权限设置正确，限制对敏感文件的访问。定期审查服务器上的文件和目录，以检测未经授权的更改。
Actualice el plugin DigiPass a una versión posterior a la 0.3.0. Esto solucionará la vulnerabilidad de descarga arbitraria de archivos. Si no hay una versión disponible, considere deshabilitar el plugin hasta que se publique una actualización.
漏洞分析和关键警报直接发送到您的邮箱。
CVE-2024-52378 是 Labs64 DigiPass WordPress 插件中的一个安全漏洞，允许攻击者访问服务器上的任意文件。
如果您正在使用 DigiPass 0.3.0 或更早版本，则您可能受到此漏洞的影响。
请立即将 DigiPass WordPress 插件升级到 0.3.1 或更高版本。
虽然目前尚未观察到大规模的利用活动，但由于漏洞的易利用性，存在被利用的风险。
请访问 Labs64 的官方网站或 DigiPass 插件的 GitHub 仓库，以获取有关此漏洞的官方安全公告。
上传你的依赖文件，立即了解此CVE和其他CVE是否影响你。