PT-2024-15089 · WordPress · The Rss Aggregator By Feedzy – Feed To Post

Colin Xu · CVE-2023-6805 · Publicado 2024-04-17 · Atualizado 2025-01-14

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.4

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:C/C:L/I:L/A:N

Nome do software vulnerável e versões afetadas

The RSS Aggregator by Feedzy – plugin “Feed to Post, Autoblogging, News & YouTube Video Feeds Aggregator” para versões do WordPress até a 4.4.7, inclusive

Descrição

O plugin está vulnerável a Blind Server-Side Request Forgery (BSRF) por meio da funcionalidade fetch feed. Isso permite que invasores autenticados com acesso de colaborador ou superior façam solicitações web para locais arbitrários originadas da aplicação web, podendo modificar informações de serviços internos.

Recomendações

Para versões até a 4.4.7, inclusive, atualize para a versão 4.4.8 para resolver totalmente o problema, pois ela corrige a vulnerabilidade tanto para usuários com nível de colaborador quanto de autor.

Como solução temporária, considere restringir o acesso à funcionalidade fetch feed até que um patch esteja disponível.

Correção

SSRF

Enumeração de Fraquezas

CWE-918

Identificadores relacionados

CVE-2023-6805

Produtos afetados

The Rss Aggregator By Feedzy – Feed To Post

Referências · 7

• https://t.me/cvenotify/77118 · Publicação no Telegram
• https://wordfence.com/threat-intel/vulnerabilities/id/46978e1d-7adb-49f6-8e41-093f177c9a4d?source=cve · Aviso do Fabricante
• https://twitter.com/CVEnew/status/1780651926767513929 · Publicação no Twitter
• https://t.me/cvenotify/77085 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2023-6805 · Aviso do Fabricante
• https://plugins.trac.wordpress.org/changeset/3070624/feedzy-rss-feeds · Correção
• https://nvd.nist.gov/vuln/detail/CVE-2023-6805 · Nota de Segurança