PT-2022-13212 · WordPress · String Locator

Qerogram · Publicado 2022-03-28 · Atualizado 2022-04-04 · CVE-2022-0493

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.9

Média

Vetor base

AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:N/A:N

Nome do software vulnerável e versões afetadas

Versões do plugin String Locator para WordPress anteriores à 2.5.0

Descrição

A vulnerabilidade permite que usuários com privilégios elevados, como administradores, consultem arquivos arbitrários no servidor web por meio de um vetor de traversal de caminho, devido à validação inadequada do caminho dos arquivos a serem pesquisados. Além disso, uma falha na função de pesquisa permite que um padrão seja fornecido, o que pode ser usado para gerar resultados relevantes do arquivo correspondente, potencialmente divulgando todo o conteúdo do arquivo.

Recomendações

Para versões anteriores à 2.5.0, atualize para a versão 2.5.0 ou posterior para resolver o problema. Como solução temporária, considere restringir o acesso à função de pesquisa para minimizar o risco de exploração. Evite usar o recurso de pesquisa por padrão no plugin afetado até que o problema seja resolvido.

Exploit

Correção

Path traversal

Enumeração de Fraquezas

CWE-22

Identificadores relacionados

CVE-2022-0493

Produtos afetados

String Locator

Referências · 5

• 🔥 https://wpscan.com/vulnerability/21e2e5fc-03d2-4791-beef-07af6bf985ed · Exploit
• https://osv.dev/vulnerability/CVE-2022-0493 · Aviso do Fabricante
• https://t.me/cvenotify/28420 · Publicação no Telegram
• https://plugins.trac.wordpress.org/changeset/2685592 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2022-0493 · Nota de Segurança