CVE-2024-9593
Time Clock <= 1.2.2 & Time Clock Pro <= 1.1.4 - Nicht authentifizierte (eingeschränkte) Remote-Codeausführung
- Veröffentlicht
- 18.10.2024
- Aktualisiert
- 08.04.2026
- CNA zuweisen
- Wordfence
- Beweise beobachtet
- 07.08.2026
Primäres CVSS
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:L/I:L/A:LMittel · nächste 30 Tage
- Perzentil
- 96,1 %
- Modelldatum
- 13.10.2026
EPSS ist eine statistische Schätzung, keine Gewissheit oder ein Maß für die Auswirkung. Kombinieren Sie es mit CVSS, KEV-Status, Belichtung und Ihrer Umgebung.
Zusammenfassung
Das Time Clock Plugin und das Time Clock Pro Plugin für WordPress sind in Versionen bis einschließlich 1.2.2 (für Time Clock) und 1.1.4 (für Time Clock Pro) anfällig für Remote Code Execution über die Funktion 'etimeclockwp_load_function_callback'. Dies ermöglicht nicht authentifizierten Angreifern, Code auf dem Server auszuführen. Die Parameter der aufgerufenen Funktion können nicht angegeben werden.
Quellen
http/cves/2024/CVE-2024-9593.yaml
Nuclei TemplatesAngegebene Bedingungen
- network: http($.protocol_keys)
- verification: dsl,status,word($.matchers[*].type)
PoC-Exploit für CVE-2024-9593, der eine nicht authentifizierte Remote-Codeausführung im WordPress-Time-Clock-Plugin ausnutzt. Das Python-Skript ruft einen verwundbaren Callback auf, um beliebigen Code auszuführen.
Verantwortungsvoller Umgang
Verwenden Sie Schwachstelleninformationen nur auf Systemen, die Sie besitzen oder zu deren Testen Sie berechtigt sind. Kitploit verlinkt auf öffentliche Forschungsmetadaten und speichert keinen Exploit-Code oder bösartige Payloads.