PT-2021-11019 · WordPress · Import Xml/Rss Feeds Plugin

Publicado 2021-07-07 · Atualizado 2021-07-10 · CVE-2020-24148

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.1

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:H

**Nome do software vulnerável e versões afetadas:

Plugin Import XML and RSS Feeds, versão 2.0.1

Descrição:

O problema está relacionado a uma falha de falsificação de solicitação do lado do servidor (SSRF) no plugin Import XML and RSS Feeds para WordPress. Isso ocorre por meio do parâmetro data na ação moove read xml.

Recomendações:

Para o plugin Import XML and RSS Feeds versão 2.0.1, considere restringir o acesso à ação moove read xml para minimizar o risco de exploração. Evite usar o parâmetro data na ação afetada até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Exploit

SSRF

Enumeração de Fraquezas

CWE-918

Identificadores relacionados

CVE-2020-24148

Produtos afetados

Import Xml/Rss Feeds Plugin

Referências · 6

• 🔥 https://github.com/dwisiswant0/CVE-2020-24148 · Exploit
• 🔥 https://github.com/secwx/research/blob/main/cve/CVE-2020-24148.md · Exploit
• https://nvd.nist.gov/vuln/detail/CVE-2020-24148 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2020-24148 · Aviso do Fabricante
• https://wordpress.org/plugins/import-xml-feed/#developers · Aviso do Fabricante
• https://t.me/cvenotify/17407 · Publicação no Telegram