CVE-2024-11396

Event monster <= 1.4.3 - كشف المعلومات عبر تصدير قائمة الزوار

الوصف

إضافة Event Monster – إدارة الأحداث، حجز التذاكر، الأحداث القادمة لووردبريس عرضة لكشف المعلومات في جميع الإصدارات حتى 1.4.3 بما فيها عبر ملف تصدير قائمة الزوار. أثناء التصدير، يتم إنشاء ملف CSV في مجلد wp-content باسم ملف ثابت يمكن الوصول إليه علنًا. وهذا يسمح للمهاجمين غير المصادق عليهم باستخراج بيانات حول زوار الحدث، والتي تتضمن الأسماء الأولى والأخيرة، والبريد الإلكتروني، ورقم الهاتف.

التفاصيل

• النوع: إضافة
• المعرف: event-monster
• الإصدار المتأثر: 1.4.3
• درجة CVSS: 5.3
• تصنيف CVSS: متوسط
• متجه CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N
• CVE: CVE-2024-11396
• الحالة: نشط

POC

https://www.wordpress.lan/wp-content/uploads/visitors-list.csv