Cherry Plugin for WordPress: Path Traversal erlaubt Download beliebiger Dateien

Zusammenfassung

Das Cherry Plugin for WordPress vor Version 1.2.7 enthält eine Path-Traversal-Schwachstelle in download-content.php. Ein nicht authentifizierter Angreifer kann mit einer manipulierten GET-Anfrage über den Parameter 'file' beliebige Dateien vom Server herunterladen, z. B. wp-config.php mit Datenbank-Zugangsdaten. Betroffen sind Websites mit installiertem Plugin, die aus dem Internet erreichbar sind.

Betroffen

• Cherry Plugin for WordPress, Versionen 1.1 bis vor 1.2.7
• Standardkonfiguration: nicht betroffen (gemäss CVE-Eintrag)

Behoben in

• Version 1.2.7 (Patch-Commit 69a3f7b)
• Spätere Versionen 1.2.8, 1.2.8.1 und 1.2.8.2 sind auf der Release-Seite des Herstellers aufgeführt

Umgehung

• Plugin deaktivieren und löschen, falls es nicht benötigt wird
• Webzugriff auf den Admin-Pfad des Plugins auf Webserver- oder WAF-Ebene einschränken, bis das Update eingespielt ist
• Im CVE-Eintrag ist kein Workaround dokumentiert

Ausnutzung

• CISA-SSVC-Bewertung: Exploitation-Status 'poc', automatisierbar: ja, technische Auswirkung: partiell
• Für diese Schwachstelle existiert ein öffentliches Nuclei-Erkennungs-Template
• Die CVE-Beschreibung gibt an, dass Shadowserver am 19.10.2023 erstmals Ausnutzung beobachtet hat; dies konnte nicht verifiziert werden
• Quellen widersprechen sich zur Aufnahme in den KEV-Katalog; CISA-KEV-Status nicht bestätigt

Unsere Empfehlung

• Alle WordPress-Installationen auf das Cherry Plugin und dessen Version prüfen
• Auf Version 1.2.7 oder neuer aktualisieren oder das Plugin entfernen, falls es nicht benötigt wird
• Zugriff auf den Admin-Pfad des Plugins bis dahin einschränken
• Server auf unerwartete Dateien prüfen und bei vermuteter Kompromittierung Datenbank-Zugangsdaten und WordPress-Salts erneuern
• Webserver-Logs auf Anfragen an download-content.php mit Traversal-Sequenzen überwachen

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Fix commit 69a3f7b (CherryFramework cherry-plugin) github.com
• Cherry Plugin releases (CherryFramework) github.com
• WPScan vulnerability entry wpscan.com
• WPScan plugin page: cherry-plugin wpscan.com
• VulnCheck advisory www.vulncheck.com
• ProjectDiscovery Nuclei template cherry-file-download github.com
• VulDB entry 423018 vuldb.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 01:23.