CVE-2024-2294

O plugin Backuply – Backup, Restore, Migrate and Clone para o WordPress, nas versões até a 1.2.7, inclusive

A vulnerabilidade permite que invasores com uma conta que possua apenas a permissão activate plugins acessem arquivos arbitrários no servidor, potencialmente contendo informações confidenciais, por meio de uma vulnerabilidade de traversal de diretório. Isso é possível através do parâmetro backup name na função backuply download backup. A vulnerabilidade afeta apenas sites hospedados em servidores Windows.

Para versões até a 1.2.7, inclusive, considere desativar a função backuply download backup até que um patch esteja disponível para impedir a exploração.

Restrinja o acesso a arquivos confidenciais no servidor para minimizar o risco de divulgação de informações.

Evite usar o parâmetro backup name na função afetada até que o problema seja resolvido.