PT-2022-16649 · WordPress · Feed Them Social

Rasoul Jahanshahi · Publicado 2022-07-18 · Atualizado 2023-10-24 · CVE-2022-2437

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Feed Them Social – plugin para feed do Twitter, YouTube e outros para o WordPress, versões até e incluindo a 2.9.8.5

Descrição

A vulnerabilidade permite a desserialização de entradas não confiáveis por meio do parâmetro fts url. Isso permite que invasores não autenticados chamem arquivos usando um wrapper PHAR, o que pode desserializar os dados e chamar objetos PHP arbitrários para realizar ações maliciosas, desde que também haja uma cadeia POP. O ataque requer o upload bem-sucedido de um arquivo com uma carga serializada.

Recomendações

Para o plugin Feed Them Social – para feed do Twitter, YouTube e mais, para versões do WordPress até e incluindo a 2.9.8.5, atualize para uma versão superior à 2.9.8.5 para resolver o problema.

Como solução alternativa temporária, considere restringir o acesso ao parâmetro fts url para minimizar o risco de exploração.

Correção

Deserialization of Untrusted Data

Enumeração de Fraquezas

CWE-502

Identificadores relacionados

CVE-2022-2437

Produtos afetados

Feed Them Social

Referências · 7

• https://wordfence.com/vulnerability-advisories/#CVE-2022-2437 · Nota
• https://t.me/cibsecurity/46467 · Publicação no Telegram
• https://wordfence.com/threat-intel/vulnerabilities/id/50bcea94-b12a-4b31-b0c1-bba834ea9bd0?source=cve · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2022-2437 · Nota de Segurança
• https://t.me/cvenotify/33319 · Publicação no Telegram
• https://plugins.trac.wordpress.org/changeset?sfp_email=&sfph_mail=&reponame=&old=2754749%40feed-them-social&new=2754749%40feed-them-social&sfp_email=&sfph_mail= · Correção
• https://osv.dev/vulnerability/CVE-2022-2437 · Aviso do Fabricante