CVE-2024-12875mediumCWE-73

CVE-2024-12875: fallo de gravedad media en smub Easy Digital Downloads – eCommerce…

Easy Digital Downloads <= 3.3.2 - Authenticated (Admin+) Arbitrary File Download

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear Easy Digital Downloads – eCommerce Payments and Subscriptions made easy

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

13Vexday Risk Score

Sin señal de explotación. Ningún artefacto público de explotación conocido hasta ahora.

ssvc Trackcvss 4.9epss 1.0%
En resumen

El plugin Easy Digital Downloads de WordPress permite que los administradores descarguen archivos a los que no deberían tener acceso utilizando técnicas de traversal de directorios. Esto podría exponer archivos sensibles en el servidor que contienen datos privados.

Detalle técnico

La funcionalidad de descarga de archivos del plugin en versiones ≤3.3.2 no valida adecuadamente las rutas de archivo, permitiendo que administradores autenticados atraviesen directorios y lean archivos arbitrarios mediante manipulación de ruta. La vulnerabilidad requiere privilegios de Administrador y permite la divulgación de información de archivos sensibles en el servidor.

Resumen generado y traducido por IA a partir de la descripción oficial.
The Easy Digital Downloads – eCommerce Payments and Subscriptions made easy plugin for WordPress is vulnerable to Directory Traversal in all versions up to, and including, 3.3.2 via the file download functionality. This makes it possible for authenticated attackers, with Administrator-level access and above, to read the contents of arbitrary files on the server, which can contain sensitive information.
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:N/A:N
Productos afectados
smub · Easy Digital Downloads – eCommerce Payments and Subscriptions made easy
CVEs relacionadas — smub Easy Digital Downloads – eCommerce…

En el mismo producto, de las más peligrosas a las menos.

CVE-2026-12476HIGHEasy Digital Downloads <= 3.6.9 - Authenticated (Shop Manager+) Arbitrary File Upload via 'edd-import-file' ParameterEPSS 1.2%CVE-2022-2439HIGHEasy Digital Downloads – Simple eCommerce for Selling Digital Files <= 3.3.3 - Authenticated (Admin+) PHAR DeserializationEPSS 0.7%CVE-2024-2302MEDIUMEasy Digital Downloads – Sell Digital Files & Subscriptions (eCommerce Store + Payments Made Easy) <= 3.2.9 - Sensitive Information ExposureEPSS 0.6%CVE-2026-120538HIGHEasy Digital Downloads <= 3.7.2 - Unauthenticated Authentication Bypass to Administrator Account Takeover via Guest Checkout Email Binding at PayPal CaptureEPSS 0.4%CVE-2024-0659MEDIUMEasy Digital Downloads <= 3.2.6 - Authenticated(Shop Manager+) Stored Cross-Site Scripting via variable pricing optionsEPSS 0.4%CVE-2025-2252MEDIUMEasy Digital Downloads – eCommerce Payments and Subscriptions made easy <= 3.3.6.1 - Unauthenticated Private Post Title DisclosureEPSS 0.4%