CVE-2024-9698

Crafthemes Demo Import <= 3.3 - 任意ファイルアップロードエクスプロイト

📌 概要

このエクスプロイトは、WordPress用プラグイン Crafthemes Demo Import の重大な脆弱性 (CVE-2024-9698) を狙います。この脆弱性により、認証された管理者が影響を受けるWordPressサイトに任意のファイルをアップロードできるようになり、潜在的なリモートコード実行 (RCE) につながる可能性があります。

🔍 脆弱性の詳細

• プラグイン: Crafthemes Demo Import
• 影響を受けるバージョン: ≤ 3.3
• CVE ID: CVE-2024-9698
• 重大度: 高 (CVSS スコア: 7.2)
• 脆弱性のある関数: process_uploaded_files
• 問題: このプラグインには適切なファイルタイプ検証がなく、管理者が悪意のあるPHPファイルをサーバーにアップロードできるようになります。
• 潜在的な影響: 攻撃者は任意のコマンドを実行することで、ウェブサイトの完全な制御を取得できる可能性があります。

🎯 悪用

✅ 前提条件

• WordPress 管理者の資格情報がこの脆弱性を悪用するために必要です。