CVE-2024-56045

Path Traversal w WPLMS — nieautoryzowane usuwanie katalogów

CVSS 9.3v3.1pub. 2024-12-31upd. 2026-04-23

Wtyczka WPLMS (WordPress Learning Management System) firmy VibeThemes zawiera podatność typu path traversal (CWE-35), umożliwiającą nieuwierzytelnionemu atakującemu usuwanie dowolnych katalogów na serwerze. Ocena CVSS 9.3 (Critical) wynika z braku wymagań uwierzytelnienia oraz zasięgu ataku wykraczającego poza komponent wtyczki.

▸ Pokaż oryginał (EN)

Path Traversal: '.../...//' vulnerability in VibeThemes WPLMS wplms_plugin allows Path Traversal.This issue affects WPLMS: from n/a through < 1.9.9.5.

🤖 Analiza AI

Jak działa

Podatność polega na nieprawidłowej sanityzacji ścieżek plików — atakujący może przekazać spreparowany ciąg znaków w formacie '.../...//' (technika omijania prostych filtrów blokujących '../'), który po przetworzeniu przez aplikację prowadzi do wskazanego katalogu poza głównym katalogiem wtyczki. Mechanizm ten pozwala na operacje poza dozwolonym obszarem systemu plików serwera. Atak jest możliwy bez jakiegokolwiek uwierzytelnienia i realizowany zdalnie przez sieć.

Skutki

Atakujący może usunąć dowolne katalogi dostępne w kontekście uprawnień serwera WWW, co może prowadzić do niedostępności serwisu (DoS), uszkodzenia instalacji WordPress lub zniszczenia danych aplikacji. Możliwe jest również naruszenie integralności systemu plików serwera.

Mitygacja

Należy niezwłocznie zaktualizować wtyczkę WPLMS do wersji 1.9.9.5 lub nowszej. Szczegóły poprawki dostępne są w bazie Patchstack oraz w repozytorium wtyczek WordPress.

Kogo dotyczy

Wtyczka WPLMS (wplms_plugin) firmy VibeThemes dla WordPress — wersje od nieokreślonej (n/a) do wersji poniżej 1.9.9.5.

Uwagi

Według Patchstack podatność umożliwia nieautoryzowane usuwanie dowolnych katalogów (unauthenticated arbitrary directory deletion). Podatność została opublikowana 2024-12-31 i jest śledzona przez Patchstack jako część programu monitoringu bezpieczeństwa wtyczek WordPress.