PT-2021-22545 · WordPress · Telefication Wordpress Plugin

Publicado 2021-09-22 · Atualizado 2021-10-02 · CVE-2021-39339

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.8

Média

Vetor base

AV:N/AC:L/PR:N/UI:N/S:C/C:N/I:N/A:L

**Nome do software vulnerável e versões afetadas:

Versões do plugin Telefication para WordPress até a 1.8.0, inclusive

Descrição:

O problema decorre de um valor de solicitação de URL fornecido pelo usuário que é chamado por solicitações curl, levando a um proxy aberto e à falsificação de solicitação do lado do servidor (SSRF) por meio do arquivo ~/bypass.php.

Recomendações:

Para versões até a 1.8.0, inclusive, atualize para uma versão superior à 1.8.0 para resolver o problema.

Como solução temporária, considere restringir o acesso ao arquivo ~/bypass.php até que um patch esteja disponível.

Correção

SSRF

Enumeração de Fraquezas

CWE-918

Identificadores relacionados

CVE-2021-39339

Produtos afetados

Telefication Wordpress Plugin

Referências · 6

• https://t.me/cvenotify/21248 · Publicação no Telegram
• https://plugins.trac.wordpress.org/browser/telefication/tags/1.8.0/bypass.php · Nota
• https://wordfence.com/vulnerability-advisories/#CVE-2021-39339 · Nota
• https://t.me/cibsecurity/29217 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2021-39339 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2021-39339 · Nota de Segurança