PT-2024-39388 · WordPress · Wordpress File Upload

Arkadiusz Hydzik

·

CVE-2024-9047

·

Publicado

2024-10-12

·

Atualizado

2025-05-31

CVSS v2.0

10

Crítica

VetorAV:N/AC:L/Au:N/C:C/I:C/A:C
Nome do software vulnerável e versões afetadas
Versões do plugin WordPress File Upload até a 4.24.11, inclusive
Descrição
O plugin WordPress File Upload está vulnerável a Path Traversal por meio do arquivo wfu file downloader.php. Isso permite que invasores não autenticados leiam ou excluam arquivos fora do diretório originalmente pretendido. A exploração bem-sucedida requer que a instalação do WordPress visada esteja usando PHP 7.4 ou versões anteriores. Aproximadamente 18.000 dispositivos estão expostos.
Recomendações
Para versões do plugin WordPress File Upload até a 4.24.11, inclusive, atualize para uma versão posterior à 4.24.11 para resolver o problema.
Como solução temporária, considere desativar o arquivo wfu file downloader.php até que um patch esteja disponível.
Restrinja o acesso ao arquivo wfu file downloader.php para minimizar o risco de exploração.

Exploit

Correção

Path traversal

Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
dbugs@ptsecurity.com

Enumeração de Fraquezas

CWE-22

Identificadores relacionados

BDU:2025-06681
CVE-2024-9047

Produtos afetados

Wordpress File Upload