CVE-2024-10586
Debug Tool <= 2.2 - Nicht authentifizierte beliebige Dateierstellung
- Veröffentlicht
- 09.11.2024
- Aktualisiert
- 08.04.2026
- CNA zuweisen
- Wordfence
- Beweise beobachtet
- 05.08.2026
Primäres CVSS
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HNiedrig · nächste 30 Tage
- Perzentil
- 81,7 %
- Modelldatum
- 15.10.2026
EPSS ist eine statistische Schätzung, keine Gewissheit oder ein Maß für die Auswirkung. Kombinieren Sie es mit CVSS, KEV-Status, Belichtung und Ihrer Umgebung.
Zusammenfassung
Das Debug Tool Plugin für WordPress ist in allen Versionen bis einschließlich 2.2 anfällig für die beliebige Erstellung von Dateien, bedingt durch eine fehlende Berechtigungsprüfung in der Funktion `dbt_pull_image()` sowie eine fehlende Validierung des Dateityps. Dies ermöglicht es nicht authentifizierten Angreifern, beliebige Dateien wie z. B. `.php`-Dateien zu erstellen, die für die Remote-Codeausführung genutzt werden können. CVE-2024-52416 könnte ein Duplikat dieses Problems sein.
Quellen
Proof-of-Concept-Exploit für CVE-2024-10586, das das WordPress-Plugin Debug Tool angreift. Automatisiert den Upload beliebiger Dateien, der über nicht authentifizierte POST-Anfragen zu Remote Code Execution führt.
Debug Tool <= 2.2 - Unauthentifizierte beliebige Dateierstellung
Verantwortungsvoller Umgang
Verwenden Sie Schwachstelleninformationen nur auf Systemen, die Sie besitzen oder zu deren Testen Sie berechtigt sind. Kitploit verlinkt auf öffentliche Forschungsmetadaten und speichert keinen Exploit-Code oder bösartige Payloads.