PT-2022-14227 · WordPress · Mobile Browser Color Select Plugin

Tsutomu Aramaki · Publicado 2022-06-13 · Atualizado 2023-10-24 · CVE-2022-1969

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Plugin de seleção de cores para navegadores móveis do WordPress, versões até e incluindo a 1.0.1

Descrição

O problema se deve à falta ou à validação incorreta do nonce na função admin update data(), possibilitando que invasores não autenticados injetem scripts maliciosos na web por meio de solicitações falsificadas. Isso pode ocorrer se um invasor conseguir induzir um administrador do site a realizar uma ação, como clicar em um link.

Recomendações

Para versões até a 1.0.1, inclusive, considere desativar a função admin update data() até que um patch esteja disponível para impedir a exploração. Restrinja o acesso aos recursos administrativos do plugin para minimizar o risco de solicitações não autorizadas.

Exploit

Correção

CSRF

Enumeração de Fraquezas

CWE-352

Identificadores relacionados

CVE-2022-1969

Produtos afetados

Mobile Browser Color Select Plugin

Referências · 6

• 🔥 https://plugins.trac.wordpress.org/browser/mobile-browser-color-select/trunk/mobile-browser-color-select.php#L62 · Exploit
• https://wordfence.com/vulnerability-advisories/#CVE-2022-1969 · Nota
• https://t.me/cvenotify/31968 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2022-1969 · Nota de Segurança
• https://wordfence.com/threat-intel/vulnerabilities/id/687cd0ac-5f78-4429-b6b5-dd1113143a4d?source=cve · Nota
• https://osv.dev/vulnerability/CVE-2022-1969 · Aviso do Fabricante