PT-2024-16422 · WordPress · Gpx Viewer
Francesco Carlucci
·
Publicado
2024-11-12
·
Atualizado
2025-03-14
·
CVE-2024-10629
CVSS v3.1
8.8
Alta
| Vetor | AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H |
Nome do software vulnerável e versões afetadas
Plugin GPX Viewer para o WordPress, versões até a 2.2.8, inclusive
Descrição
O plugin GPX Viewer para WordPress está vulnerável à criação arbitrária de arquivos devido à falta de verificação de permissão e validação de tipo de arquivo na função
gpxv file upload(). Isso permite que invasores autenticados, com acesso de nível de assinante ou superior, criem arquivos arbitrários no servidor do site afetado, o que pode possibilitar a execução remota de código.Recomendações
Para versões até a 2.2.8, inclusive, atualize o plugin para a versão mais recente a fim de mitigar os riscos.
Como solução temporária, considere desativar a função
gpxv file upload() até que um patch esteja disponível.Restrinja o acesso à funcionalidade de upload de arquivos do plugin para minimizar o risco de exploração.
Exploit
Correção
Missing Authorization
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Gpx Viewer