PT-2022-1624 · WordPress · Php Everywhere

Ramuel Gall · Publicado 2022-01-04 · Atualizado 2022-02-24 · CVE-2022-24663

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.9

Crítica

Vetor base

AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

PHP Everywhere versões 2.0.3 e anteriores

Descrição

O problema está relacionado ao gerenciamento incorreto da geração de código na função wp ajax parse media shortcode() do plugin PHP Everywhere, permitindo a execução de trechos de código PHP por meio de shortcodes do WordPress. Isso pode ser explorado por qualquer usuário autenticado, possibilitando que um invasor remoto execute código arbitrário.

Recomendações

Para as versões 2.0.3 e anteriores do PHP Everywhere, considere desativar a função wp ajax parse media shortcode() até que um patch esteja disponível para impedir a exploração. Restrinja o acesso ao plugin PHP Everywhere para minimizar o risco de exploração. Evite usar a funcionalidade de execução de código PHP por meio de shortcodes do WordPress no plugin afetado até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Code Injection

Enumeração de Fraquezas

CWE-94

Identificadores relacionados

BDU:2022-00854

CVE-2022-24663

Produtos afetados

Php Everywhere

Referências · 8

• https://t.me/cibsecurity/37600 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2022-24663 · Nota de Segurança
• https://wordfence.com/blog/2022/02/critical-vulnerabilities-in-php-everywhere-allow-remote-code-execution · Nota
• https://xakep.ru/2022/02/10/php-everywhere-rce · Nota
• https://bdu.fstec.ru/vul/2022-00854 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2022-24663 · Aviso do Fabricante
• https://t.me/tomhunter/763 · Publicação no Telegram
• https://t.me/true_secator/2616 · Publicação no Telegram