CVE-2023-5822

2023. december 1. 10:17

CodeDropz Drag and Drop Multiple File Upload - Contact Form for WordPress sérülékenysége
Angol cím: CodeDropz Drag and Drop Multiple File Upload - Contact Form for WordPress vulnerability

Publikálás dátuma: 2023.11.22.
Utolsó módosítás dátuma: 2023.11.29.

Leírás

Veszélyes kiterjesztésű fájl korlátozatlan felöltése: A program lehetővé teszi, hogy a támadó olyan veszélyes fájlokat töltsön fel vagy küldjön át, amelyek automatikusan futtathatók a termék környezetében.

Leírás forrása: CWE-434

Elemzés leírás

Eredeti nyelven: The Drag and Drop Multiple File Upload – Contact Form 7 plugin for WordPress is vulnerable to arbitrary file uploads to insufficient file type validation in the ‘dnd_upload_cf7_upload’ function in versions up to, and including, 1.3.7.3. This makes it possible for unauthenticated attackers to upload arbitrary files on the affected site’s server which may make remote code execution possible. This can be exploited if a user authorized to edit form, which means editor privileges or above, has added a ‘multiple file upload’ form field with ‘*’ acceptable file types.

Elemzés leírás forrása: CVE-2023-5822

Hatás

CVSS3.1 Súlyosság és Metrika

Alap pontszám: 9.8 (Kritikus)
Vektor: AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Hatás pontszáma: 5.9
Kihasználhatóság pontszáma: 3.9

Támadás Vektora (AV): Hálózat
Támadás komplexitása (AC): Alacsony
Jogosultság Szükséges (PR): Nincs
Felhasználói Interakció (UI): Nincs
Hatókör (S): Nem változott
Bizalmasság Hatása (C): Magas
Sértetlenség Hatása (I): Magas
Rendelkezésre állás Hatása (A): Magas