CVE-2024-9047
WordPress File Upload <= 4.24.11 - Nicht authentifizierter Pfad-Traversal zum beliebigen Lesen und Löschen von Dateien in wfu_file_downloader.php
- Veröffentlicht
- 12.10.2024
- Aktualisiert
- 08.04.2026
- CNA zuweisen
- Wordfence
- Beweise beobachtet
- 08.08.2026
Primäres CVSS
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HHoch · nächste 30 Tage
- Perzentil
- 99,8 %
- Modelldatum
- 21.09.2026
EPSS ist eine statistische Schätzung, keine Gewissheit oder ein Maß für die Auswirkung. Kombinieren Sie es mit CVSS, KEV-Status, Belichtung und Ihrer Umgebung.
Zusammenfassung
Das WordPress File Upload Plugin für WordPress ist in allen Versionen bis einschließlich 4.24.11 über wfu_file_downloader.php anfällig für Path Traversal. Dies ermöglicht es nicht authentifizierten Angreifern, Dateien außerhalb des ursprünglich vorgesehenen Verzeichnisses zu lesen oder zu löschen. Eine erfolgreiche Ausnutzung erfordert, dass die betroffene WordPress-Installation PHP 7.4 oder früher verwendet.
Quellen
5- CVE-2024-9047-ExploitExploit
Exploit für WordPress File Upload Plugin - Alle Versionen bis 4.24.11 sind anfällig.
POC – WordPress File Upload Plugin, in der Datei wfu_file_downloader.php vor Version <= 4.24.11
Python-basiertes Tool zur Erkennung und Ausnutzung einer Schwachstelle für beliebiges Dateilesen im WordPress WP File Upload Plugin (<=4.24.11), das nicht authentifizierte Path Traversal ermöglicht.
Verantwortungsvoller Umgang
Verwenden Sie Schwachstelleninformationen nur auf Systemen, die Sie besitzen oder zu deren Testen Sie berechtigt sind. Kitploit verlinkt auf öffentliche Forschungsmetadaten und speichert keinen Exploit-Code oder bösartige Payloads.