PT-2021-3389 · WordPress · Autoptimize
Marcin Węgłowski
·
Publicado
2021-06-21
·
Atualizado
2021-09-20
·
CVE-2021-24376
CVSS v3.1
9.8
Crítica
| Vetor | AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
Nome do software vulnerável e versões afetadas
Versões do plugin Autoptimize para WordPress anteriores à 2.7.8
Descrição
O problema está relacionado ao recurso “Import Settings” do plugin Autoptimize para WordPress, que lida de forma inadequada com a extração de arquivos compactados enviados. Isso permite que um invasor envie um arquivo zip contendo um diretório com um arquivo PHP, contornando a tentativa do plugin de excluir arquivos maliciosos. A vulnerabilidade permite a execução remota de código.
Recomendações
Para versões anteriores à 2.7.8, atualize para a versão 2.7.8 ou posterior para resolver o problema. Como solução temporária, considere desativar o recurso “Importar configurações” até que um patch esteja disponível. Restrinja o acesso aos arquivos enviados e às pastas extraídas para minimizar o risco de exploração. Evite usar a funcionalidade “Importar configurações” com fontes não confiáveis até que o problema seja resolvido.
Exploit
Correção
RCE
Unrestricted File Upload
Code Injection
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Autoptimize