PT-2024-10887 · WordPress · Wp Editor

Khanh + 1 · Publicado 2024-01-16 · Atualizado 2024-01-23 · CVE-2021-24151

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.2

Alta

Vetor base

AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Plugin WP Editor para WordPress, versão 1.2.6 e anteriores

Descrição

O problema está relacionado a uma vulnerabilidade de injeção SQL cega autenticada. Ele ocorre porque o plugin não sanitiza nem valida adequadamente os campos de configuração, permitindo que um parâmetro arbitrário seja utilizado ao salvar as configurações. Isso pode ser explorado por um administrador ou por um usuário com privilégios superiores.

Recomendações

Para o plugin WP Editor do WordPress versão 1.2.6 e anteriores, atualize para a versão 1.2.7 ou posterior para resolver o problema. Como solução temporária, considere restringir o acesso à funcionalidade de salvamento de configurações para minimizar o risco de exploração.

Exploit

Correção

SQL injection

Enumeração de Fraquezas

CWE-89

Identificadores relacionados

CVE-2021-24151

Produtos afetados

Wp Editor

Referências · 6

• 🔥 https://wpscan.com/vulnerability/5ee77dd7-5a73-4d4e-8038-23e6e763e20c · Exploit
• https://nvd.nist.gov/vuln/detail/CVE-2021-24151 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2021-24151 · Aviso do Fabricante
• https://t.me/cvenotify/68416 · Publicação no Telegram
• https://t.me/cvenotify/67638 · Publicação no Telegram
• https://twitter.com/CVEnew/status/1747293184714305641 · Publicação no Twitter