PT-2024-18636 · WordPress · Folders Pro

Colin Xu · Publicado 2024-06-14 · Atualizado 2024-06-17 · CVE-2024-2024

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Plugin Folders Pro para o WordPress, versões até a 3.0.2, inclusive

Descrição

O problema decorre da falta de validação do tipo de arquivo na função handle folders file upload, permitindo que invasores autenticados com acesso de autor ou superior enviem arquivos arbitrários para o servidor. Isso poderia potencialmente levar à execução remota de código.

Recomendações

Para versões até a 3.0.2, inclusive, atualize para uma versão que inclua uma correção para a falta de validação do tipo de arquivo na função handle folders file upload.

Como solução temporária, considere desativar a função handle folders file upload até que um patch esteja disponível.

Correção

Path traversal

Enumeração de Fraquezas

CWE-22

Identificadores relacionados

CVE-2024-2024

Produtos afetados

Folders Pro

Referências · 5

• https://twitter.com/CVEnew/status/1801673803594141723 · Publicação no Twitter
• https://plugins.trac.wordpress.org/browser/folders/tags/3.0/includes/media.replace.php#L1311 · Nota
• https://t.me/cvenotify/83301 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2024-2024 · Nota de Segurança
• https://wordfence.com/threat-intel/vulnerabilities/id/fa1d953f-6a5c-46af-a1a5-2c4f90da679a?source=cve · Nota