PT-2022-25353 · WordPress · Appointment Hour Booking Plugin

Andreas Krüger + 1 · Publicado 2022-11-29 · Atualizado 2022-12-02 · CVE-2022-4034

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.8

Alta

Vetor base

AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Plugin Appointment Hour Booking para o WordPress, versões até a 1.3.72, inclusive

Descrição

A vulnerabilidade permite que invasores não autenticados insiram dados não confiáveis no conteúdo durante a criação de reservas, os quais podem ser exportados como um arquivo CSV quando o administrador do site exporta os detalhes da reserva. Isso pode resultar na execução de código quando esses arquivos forem baixados e abertos em um sistema local com uma configuração vulnerável.

Recomendações

Para versões até a 1.3.72, inclusive, atualize para uma versão posterior à 1.3.72 para resolver o problema.

No momento, não há informações sobre medidas de mitigação adicionais para esta vulnerabilidade.

Correção

RCE

Enumeração de Fraquezas

CWE-1236

Identificadores relacionados

CVE-2022-4034

Produtos afetados

Appointment Hour Booking Plugin

Referências · 7

• https://nvd.nist.gov/vuln/detail/CVE-2022-4034 · Nota de Segurança
• https://plugins.trac.wordpress.org/changeset?sfp_email=&sfph_mail=&reponame=&old=2803896%40appointment-hour-booking&new=2803896%40appointment-hour-booking&sfp_email=&sfph_mail= · Correção
• https://t.me/cvenotify/38718 · Publicação no Telegram
• https://wordfence.com/threat-intel/vulnerabilities/id/b3a77b7a-65ad-4334-99c9-92cc79e60bee?source=cve · Nota
• https://wordfence.com/vulnerability-advisories-continued/#CVE-2022-4034 · Nota
• https://osv.dev/vulnerability/CVE-2022-4034 · Aviso do Fabricante
• https://t.me/cvenotify/38922 · Publicação no Telegram