PT-2022-1626 · WordPress · Php Everywhere

Ramuel Gall · Publicado 2022-01-04 · Atualizado 2022-02-24 · CVE-2022-24665

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.9

Crítica

Vetor base

AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões do PHP Everywhere anteriores à 2.0.4

Descrição

A vulnerabilidade está relacionada ao gerenciamento incorreto da geração de código no plugin PHP Everywhere, especificamente com a funcionalidade edit posts. Isso permite que qualquer usuário com permissão para editar publicações execute trechos de código PHP por meio de um bloco do Gutenberg do WordPress. A exploração desse problema pode permitir que um invasor remoto execute código arbitrário usando blocos do Gutenberg.

Recomendações

Para versões do PHP Everywhere anteriores à 2.0.4, atualize para a versão 2.0.4 ou posterior para resolver o problema.

Como solução temporária, considere restringir o acesso à capacidade edit posts para minimizar o risco de exploração.

Exploit

Correção

Code Injection

Enumeração de Fraquezas

CWE-94

Identificadores relacionados

BDU:2022-00856

CVE-2022-24665

Produtos afetados

Php Everywhere

Referências · 7

• 🔥 https://wordfence.com/blog/2022/02/critical-vulnerabilities-in-php-everywhere-allow-remote-code-execution · Exploit
• https://nvd.nist.gov/vuln/detail/CVE-2022-24665 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2022-24665 · Aviso do Fabricante
• https://bdu.fstec.ru/vul/2022-00856 · Nota de Segurança
• https://xakep.ru/2022/02/10/php-everywhere-rce · Nota
• https://t.me/tomhunter/763 · Publicação no Telegram
• https://t.me/true_secator/2616 · Publicação no Telegram