PT-2021-15760 · WordPress · Controlled Admin Access

M0Ze + 1 · Publicado 2021-04-12 · Atualizado 2022-07-30 · CVE-2021-24215

Positive Technologies (AI Summary) · Pt

CVSS v3.1

10

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

**Nome do software vulnerável e versões afetadas:

Versões do plugin Controlled Admin Access para WordPress anteriores à 1.5.2

Descrição:

Foi detectada uma falha no controle de acesso, permitindo acesso não controlado às funcionalidades de personalização do site e às configurações globais do CMS, tais como “/wp-admin/customization.php” e “/wp-admin/options.php”, o que pode levar ao comprometimento total do recurso alvo.

Recomendações:

Para versões anteriores à 1.5.2, atualize para a versão 1.5.2 ou posterior para resolver o problema.

Como solução temporária, considere restringir o acesso aos endpoints “/wp-admin/customization.php” e “/wp-admin/options.php” até que um patch esteja disponível.

Exploit

Correção

Improper Access Control

Enumeração de Fraquezas

CWE-425

CWE-284

Identificadores relacionados

CVE-2021-24215

Produtos afetados

Controlled Admin Access

Referências · 5

• 🔥 https://wpscan.com/vulnerability/eec0f29f-a985-4285-8eed-d1855d204a20 · Exploit
• https://nvd.nist.gov/vuln/detail/CVE-2021-24215 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2021-24215 · Aviso do Fabricante
• https://t.me/cvenotify/34047 · Publicação no Telegram
• https://m0ze.ru/vulnerability/%5B2021-03-18%5D-%5BWordPress%5D-%5BCWE-284%5D-Controlled-Admin-Access-WordPress-Plugin-v1.4.0.txt · Nota