PT-2021-7460 · Unknown · Imagements Plugin
Jin Huang
·
Publicado
2021-03-26
·
Atualizado
2021-05-11
·
CVE-2021-24236
CVSS v3.1
10
Crítica
| Vetor | AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
Nome do software vulnerável e versões afetadas
Plugin Imagements, versões 1.2.5 e anteriores
Descrição
O problema está relacionado ao upload ilimitado de tipos de arquivos perigosos ao lidar com cabeçalhos Content-Type em solicitações. Isso pode ser explorado por um invasor remoto para executar código arbitrário. A vulnerabilidade permite que invasores não autenticados enviem arquivos arbitrários usando um Content-Type de imagem válido juntamente com um nome de arquivo e código PHP, levando à execução remota de código.
Recomendações
Para as versões 1.2.5 e anteriores do plugin Imagements, como solução temporária, considere desativar a funcionalidade de upload de imagens nos comentários até que um patch esteja disponível. Restrinja o acesso ao módulo de upload do plugin para minimizar o risco de exploração. Evite usar o plugin para fazer upload de arquivos até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.
Exploit
RCE
Unrestricted File Upload
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Imagements Plugin