PT-2022-13906 · WordPress · Booking Calendar

Ramuel Gall · Publicado 2022-05-10 · Atualizado 2022-05-17 · CVE-2022-1463

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Plugin Booking Calendar para WordPress versão 9.1 e anteriores

Descrição

A vulnerabilidade permite a injeção de objetos PHP por meio do shortcode bookingflextimeline. Isso poderia ser explorado por usuários com permissão de assinante ou superior para chamar objetos PHP arbitrários em um site vulnerável.

Recomendações

Para versões até a 9.1, inclusive, atualize para uma versão posterior à 9.1 para resolver o problema.

Como solução temporária, considere restringir o acesso ao shortcode bookingflextimeline até que um patch esteja disponível.

Exploit

Correção

Deserialization of Untrusted Data

Enumeração de Fraquezas

CWE-502

Identificadores relacionados

CVE-2022-1463

Produtos afetados

Booking Calendar

Referências · 5

• 🔥 https://wordfence.com/blog/2022/04/php-object-injection-in-booking-calendar-plugin · Exploit
• https://t.me/cvenotify/30355 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2022-1463 · Aviso do Fabricante
• https://t.me/cibsecurity/42288 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2022-1463 · Nota de Segurança