PT-2022-13971 · WordPress · Html2Wp
CVSS v3.1
8.1
Alta
| Vetor | AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:H |
Nome do software vulnerável e versões afetadas
Plugin HTML2WP para WordPress, versão 1.0.0
Descrição
O problema está relacionado à falta de verificações de autorização e CSRF em uma ação AJAX dentro do plugin HTML2WP para WordPress. Isso poderia permitir que qualquer usuário autenticado, incluindo aqueles com a função de assinante, apagasse arquivos arbitrários.
Recomendações
Para a versão 1.0.0, considere desativar a ação AJAX até que uma correção esteja disponível para evitar possíveis explorações. Restrinja o acesso às funcionalidades do plugin para usuários com privilégios mais baixos, como assinantes, a fim de minimizar o risco de exclusão arbitrária de arquivos. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.
Exploit
Missing Authorization
CSRF
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Html2Wp