یک آسیب‌پذیری با شناسه CVE-2024-9047 و شدت 9.8 (بحرانی) در WordPress کشف شده است. این نقص امنیتی Path Traversal درافزونه "WordPress File Upload"به مهاجمان غیرمجاز اجازه می‌دهد به فایل‌های خارج از دایرکتوری مورد نظر دسترسی پیدا کنند. این آسیب‌پذیری می‌تواند منجر به فاش شدن اطلاعات حساس یا حذف فایل‌های مهم شود. برای بهره‌برداری از این آسیب‌پذیری، سایت هدف باید از نسخه PHP7.4 و قبل تر ازآن استفاده کند. بر اساس بردار حمله این آسیب‌پذیری CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H: بهره‌برداری از آن از طریق شبکه خارجی و از راه دور امکان‌پذیر است و چندان به شرایط خاصی نیاز نیست(AV:N/AC:L)، این حمله بدون نیاز به سطح دسترسی اولیه و بدون تایید کاربرانجام می‌شود(PR:L/UI:N)، بهره‌برداری از آسیب‌پذیری مذکور بر سایر منابع امنیتی تأثیر نمی‌گذارد (S:C)، این آسیب‌پذیری سه ضلع امنیت را با شدت بالا تحت تاثیر قرار می‌دهد (C:H/I:H/A:H).
محصولات تحت تأثیر
تمام نسخه ها تا نسخه 4.24.11 تحت تاثیر این آسیب‌پذیری قرار گرفته است.
توصیه امنیتی
به کاربران توصیه می‌شود که در اسرع وقت PHP را به نسخه های بالاتر از 7.4 به‌‌روزرسانی کنند.
منابع خبر:
[1] https://nvd.nist.gov/vuln/detail/CVE-2024-9047
[2] https://www.cvedetails.com/cve/CVE-2024-9047
[3] https://feedly.com/cve/CVE-2024-9047
- 65