PT-2020-7816 · Huge It · Huge-It Slider

Htbridge · Publicado 2020-02-08 · Atualizado 2020-02-11 · CVE-2015-2062

Positive Technologies (AI Summary) · Pt

CVSS v2.0

6.5

Média

Vetor base

AV:N/AC:L/Au:S/C:P/I:P/A:P

**Nome do software vulnerável e versões afetadas:

Versões do plugin Huge-IT Slider (slider-image) anteriores à 2.7.0

Descrição:

A vulnerabilidade permite que administradores remotos executem comandos SQL arbitrários. Isso pode ser feito por meio do parâmetro removeslide em uma ação popup posts ou edit cat na página sliders huge it slider para wp-admin/admin.php.

Recomendações:

Para versões anteriores à 2.7.0, atualize para a versão 2.7.0 ou posterior para resolver o problema. Como solução temporária, considere restringir o acesso ao parâmetro removeslide no endpoint da API afetado até que o problema seja resolvido.

Exploit

Correção

SQL injection

Enumeração de Fraquezas

CWE-89

Identificadores relacionados

CVE-2015-2062

Produtos afetados

Huge-It Slider

Referências · 5

• 🔥 http://packetstormsecurity.com/files/130796/WordPress-Huge-IT-Slider-2.6.8-SQL-Injection.html · Exploit
• 🔥 https://htbridge.com/advisory/HTB23250 · Exploit
• https://nvd.nist.gov/vuln/detail/CVE-2015-2062 · Nota de Segurança
• http://securityfocus.com/archive/1/archive/1/534852/100/0/threaded · Nota
• https://wordpress.org/support/topic/huge-it-slider-security-vulnerability-notification-sql-injection · Nota