PT-2024-15204 · WordPress · Import Any Xml/Csv File To Wordpress

Quangnt · Publicado 2024-01-22 · Atualizado 2024-01-26 · CVE-2023-7082

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.2

Alta

Vetor base

AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões anteriores à 3.7.3 do plugin “Import any XML or CSV File to WordPress”

Descrição

A vulnerabilidade permite que usuários com privilégios elevados, como administradores, enviem arquivos executáveis, o que pode levar à execução remota de código. Isso ocorre porque o plugin aceita todos os arquivos ZIP e os extrai automaticamente para um diretório de acesso público sem validar adequadamente o tipo de arquivo extraído.

Recomendações

Para versões anteriores à 3.7.3, atualize para a versão 3.7.3 ou posterior para resolver o problema. Como solução temporária, considere restringir o acesso ao recurso de upload de arquivos zip para minimizar o risco de exploração.

Exploit

Correção

Identificadores relacionados

CVE-2023-7082

Produtos afetados

Import Any Xml/Csv File To Wordpress

Referências · 5

• 🔥 https://wpscan.com/vulnerability/7f947305-7a72-4c59-9ae8-193f437fd04e · Exploit
• https://nvd.nist.gov/vuln/detail/CVE-2023-7082 · Nota de Segurança
• https://twitter.com/VulmonFeeds/status/1749545414867538361 · Publicação no Twitter
• https://twitter.com/CVEnew/status/1749513267767103889 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2023-7082 · Aviso do Fabricante