PT-2021-4505 · WordPress · Wordpress

Ehti · Publicado 2021-09-09 · Atualizado 2024-03-06 · CVE-2021-39200

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.3

Média

Vetor base

AV:N/AC:H/PR:L/UI:N/S:U/C:H/I:N/A:N

Nome do software vulnerável e versões afetadas

Versões do WordPress anteriores à 5.8.1

Descrição

O problema está relacionado à função wp die() do WordPress, que pode vazar dados de saída em determinadas condições, incluindo informações confidenciais como nonces. Esses dados vazados podem ser usados para realizar ações em nome do usuário. A exploração dessa vulnerabilidade pode permitir que um invasor remoto execute código arbitrário.

Recomendações

Para versões anteriores à 5.8.1, atualize para o WordPress 5.8.1 ou posterior para receber a correção. É altamente recomendável manter as atualizações automáticas ativadas para garantir o recebimento da correção. Como solução temporária, considere restringir o acesso à função wp die() até que um patch esteja disponível.

Correção

Information Disclosure

Enumeração de Fraquezas

CWE-200

Identificadores relacionados

BDU:2021-05143

BIT-WORDPRESS-2021-39200

BIT-WORDPRESS-MULTISITE-2021-39200

CVE-2021-39200

DSA-4985-1

GHSA-M9HC-7V5Q-X8Q5

Produtos afetados

Wordpress

Referências · 15

• https://github.com/WordPress/wordpress-develop/security/advisories/GHSA-m9hc-7v5q-x8q5 · Nota
• https://t.me/cibsecurity/28652 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2021-39200 · Nota de Segurança
• https://osv.dev/vulnerability/BIT-wordpress-2021-39200 · Aviso do Fabricante
• https://osv.dev/vulnerability/DSA-4985-1 · Aviso do Fabricante
• https://osv.dev/vulnerability/DEBIAN-CVE-2021-39200 · Aviso do Fabricante
• https://ubuntu.com/security/CVE-2021-39200 · Aviso do Fabricante
• https://hackerone.com/reports/1142140 · Nota
• https://osv.dev/vulnerability/UBUNTU-CVE-2021-39200 · Aviso do Fabricante
• https://cve.org/CVERecord?id=CVE-2021-39200 · Nota de Segurança
• https://osv.dev/vulnerability/BIT-wordpress-multisite-2021-39200 · Aviso do Fabricante
• https://debian.org/security/2021/dsa-4985 · Aviso do Fabricante
• https://bdu.fstec.ru/vul/2021-05143 · Nota de Segurança
• https://security-tracker.debian.org/tracker/CVE-2021-39200 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2021-39200 · Aviso do Fabricante