PT-2024-39690 · Unknown+1 · Php-Parser+1

Siunam + 1 · Publicado 2024-10-14 · Atualizado 2024-10-17 · CVE-2024-9546

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.3

Média

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N

Nome do software vulnerável e versões afetadas

Plugin WPIDE – File Manager & Code Editor para versões do WordPress até a 3.4.9, inclusive

Descrição

O plugin WPIDE – Gerenciador de Arquivos e Editor de Código para o WordPress está vulnerável à Divulgação do Caminho Completo. Esse problema decorre da utilização, pelo plugin, da biblioteca PHP-Parser, que exibe os resultados da execução do comando de reconstrução do analisador, permitindo que invasores não autenticados recuperem o caminho completo da aplicação web. Essa informação, embora não seja útil por si só, pode auxiliar outros ataques quando combinada com outra vulnerabilidade.

Recomendações

Para versões até a 3.4.9, inclusive, atualize para uma versão posterior à 3.4.9 para resolver o problema. Como solução temporária, considere restringir o acesso à biblioteca PHP-Parser até que um patch esteja disponível.

Correção

Information Disclosure

Enumeração de Fraquezas

CWE-200

Identificadores relacionados

CVE-2024-9546

Produtos afetados

Php-Parser

Wpide

Referências · 9

• https://wordfence.com/threat-intel/vulnerabilities/id/e884af8b-c83f-4380-bfaf-f1419fce125c?source=cve · Nota
• https://plugins.trac.wordpress.org/browser/wpide/tags/3.4.9/vendor/nikic/php-parser/grammar/rebuildParsers.php#L77 · Nota
• https://t.me/cvenotify/98015 · Publicação no Telegram
• https://twitter.com/CVEnew/status/1845972844062130355 · Publicação no Twitter
• https://twitter.com/VulmonFeeds/status/1846086305379123257 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2024-9546 · Nota de Segurança
• https://t.me/cvedetector/7873 · Publicação no Telegram
• https://t.me/cvenotify/98465 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2024-9546 · Aviso do Fabricante