PT-2022-20734 · WordPress · Translate Multilingual Sites

Elias Hohl · Publicado 2022-09-19 · Atualizado 2023-03-27 · CVE-2022-3141

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões anteriores à 2.3.3 do plugin “Translate Multilingual Sites” para WordPress

Descrição

A vulnerabilidade permite uma injeção de SQL por usuário autenticado. Isso pode ocorrer ao adicionar um novo idioma pela página de configurações, contendo caracteres especiais específicos, que podem ultrapassar as crases na consulta SQL e permitir a injeção de uma carga cega baseada em tempo.

Recomendações

Para versões anteriores à 2.3.3, atualize para a versão 2.3.3 ou posterior para resolver o problema. Como solução temporária, considere restringir o acesso à página de configurações para minimizar o risco de exploração. Evite usar caracteres especiais ao adicionar novos idiomas até que o problema seja resolvido.

Exploit

Correção

SQL injection

Enumeração de Fraquezas

CWE-89

Identificadores relacionados

CVE-2022-3141

Produtos afetados

Translate Multilingual Sites

Referências · 8

• 🔥 https://wpscan.com/vulnerability/1fa355d1-cca8-4b27-9d21-0b420a2e1bf3 · Exploit
• 🔥 https://exploit-db.com/exploits/51043 · Exploit
• 🔥 https://medium.com/@elias.hohl/authenticated-sql-injection-vulnerability-in-translatepress-multilingual-wordpress-plugin-effc08eda514 · Exploit
• https://t.me/cibsecurity/50035 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2022-3141 · Aviso do Fabricante
• https://medium.com/%40elias.hohl/authenticated-sql-injection-vulnerability-in-translatepress-multilingual-wordpress-plugin-effc08eda514 · Nota
• http://packetstormsecurity.com/files/171479/WordPress-Translatepress-Multilingual-SQL-Injection.html · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2022-3141 · Nota de Segurança