CVE-2024-2667
InstaWP Connect – 1-clique WP Staging & Migration <= 0.1.0.22 - Upload de arquivo arbitrário não autenticado
- Publicado
- 2 de mai. de 2024
- Atualizado
- 8 de abr. de 2026
- Atribuindo CNA
- Wordfence
- Evidência observada
- 5 de ago. de 2026
CVSS primário
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HBaixo · próximos 30 dias
- Percentil
- 93,0%
- Data do modelo
- 15 de out. de 2026
EPSS é uma estimativa estatística, não uma certeza ou uma medida de impacto. Combine-o com CVSS, status KEV, exposição e seu ambiente.
Resumo
O plugin InstaWP Connect – 1-click WP Staging & Migration para WordPress é vulnerável a uploads arbitrários de arquivos devido à validação insuficiente de arquivos no endpoint da API REST /wp-json/instawp-connect/v1/config em todas as versões até, e incluindo, a 0.1.0.22. Isso possibilita que atacantes não autenticados façam upload de arquivos arbitrários.
Fontes
http/cves/2024/CVE-2024-2667.yaml
Nuclei TemplatesCondições declaradas
- network: http($.protocol_keys)
- verification: status,word($.matchers[*].type)
- oob: interactsh_reference($.template_text)
- CVE-2024-2667-PocExploit
Exploit PoC para CVE-2024-2667: upload automatizado de arquivos arbitrários e acesso a shell por meio de validação insuficiente de arquivos no endpoint da API REST do plugin InstaWP Connect do WordPress.
Uso responsável
Use informações de vulnerabilidade apenas em sistemas que você possui ou está autorizado a testar. O Kitploit vincula-se a metadados de pesquisa pública e não armazena código de exploração ou cargas maliciosas.