PT-2022-13964 · Unknown · Wp All Import

Yangkang · Publicado 2022-07-18 · Atualizado 2023-10-24 · CVE-2022-1565

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.2

Alta

Vetor base

AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões do WP All Import até a 3.6.7, inclusive

Descrição

O problema está relacionado ao upload arbitrário de arquivos devido à falta de validação do tipo de arquivo no arquivo wp all import get gz.php. Isso permite que invasores autenticados com permissões de nível de administrador ou superiores façam upload de arquivos arbitrários no servidor do site afetado, possibilitando potencialmente a execução remota de código.

Recomendações

Para versões até a 3.6.7, inclusive, atualize para uma versão superior à 3.6.7 para resolver o problema. Como solução temporária, considere restringir o acesso ao arquivo wp all import get gz.php para minimizar o risco de exploração.

Exploit

Correção

Unrestricted File Upload

Enumeração de Fraquezas

CWE-434

Identificadores relacionados

CVE-2022-1565

Produtos afetados

Wp All Import

Referências · 8

• 🔥 https://exploit-db.com/exploits/51122 · Exploit
• https://t.me/cvenotify/33707 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2022-1565 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2022-1565 · Nota de Segurança
• https://t.me/cibsecurity/46478 · Publicação no Telegram
• https://plugins.trac.wordpress.org/changeset/2749264/wp-all-import/trunk?contextall=1&old=2737093&old_path=%2Fwp-all-import%2Ftrunk · Correção
• https://wordfence.com/vulnerability-advisories/#CVE-2022-1565 · Nota
• https://wordfence.com/threat-intel/vulnerabilities/id/5d281333-d9af-4eb7-bc5c-ea7ceeddac03?source=cve · Nota