CVE-2024-6228
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 24 - wyżej niż 24% wszystkich znanych CVE
Streszczenie
Wtyczka Notifications for Forms & WordPress Actions przed wersją 2.6 nie waliduje wartości dostarczonej przez użytkownika przed użyciem jej do budowy ścieżki dołączania plików po stronie serwera. Umożliwia to uwierzytelnionym użytkownikom z dostępem na poziomie subskrybenta i wyższym dołączanie i wykonywanie dowolnych lokalnych plików PHP na serwerze.
Ocena ryzyka
Atakujący może wykonać dowolny lokalny plik PHP, co może prowadzić do przejęcia kontroli nad serwerem, kradzieży danych lub dalszego rozprzestrzeniania się ataku w sieci.
Rekomendacja
Należy natychmiast zaktualizować wtyczkę Notifications for Forms & WordPress Actions do wersji 2.6 lub nowszej, która zawiera poprawkę eliminującą podatność.
Oryginalny opis (angielski, źródło NVD)
The Notifications for Forms & WordPress Actions WordPress plugin before 2.6 does not validate a user-supplied value before using it to build a server-side file inclusion path, allowing authenticated users with subscriber-level access and above to include and execute arbitrary local PHP files on the server.