PT-2022-16633 · WordPress · Anymind Widget

Sho Sakata · Publicado 2022-07-18 · Atualizado 2026-04-08 · CVE-2022-2435

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Plugin AnyMind Widget para WordPress, versões até a 1.1, inclusive

Descrição

O problema se deve à falta de proteção por nonce na função createDOMStructure() encontrada no arquivo ~/anymind-widget-id.php. Isso permite que invasores não autenticados injetem scripts maliciosos na página, desde que consigam induzir o administrador do site a realizar uma ação, como clicar em um link.

Recomendações

Para versões até a 1.1, inclusive, considere desativar a função createDOMStructure() até que um patch esteja disponível para impedir a exploração. Restrinja o acesso ao arquivo ~/anymind-widget-id.php para minimizar o risco de injeção de scripts maliciosos. Evite realizar ações que possam ser acionadas por um invasor, como clicar em links suspeitos, para impedir uma possível exploração.

Correção

CSRF

Enumeração de Fraquezas

CWE-352

Identificadores relacionados

CVE-2022-2435

Produtos afetados

Anymind Widget

Referências · 8

• https://nvd.nist.gov/vuln/detail/CVE-2022-2435 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2022-2435 · Aviso do Fabricante
• https://t.me/cveNotify/158485 · Publicação no Telegram
• https://t.me/cibsecurity/46482 · Publicação no Telegram
• https://t.me/cvenotify/33320 · Publicação no Telegram
• https://wordfence.com/vulnerability-advisories/#CVE-2022-2435 · Nota
• https://plugins.trac.wordpress.org/browser/anymind-widget/trunk/anymind-widget-id.php · Nota
• https://wordfence.com/threat-intel/vulnerabilities/id/174eae70-15d7-4772-8fcd-dc4c0fca5b7d?source=cve · Nota