CVE-2017-20251
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 43 - wyżej niż 43% wszystkich znanych CVE
Streszczenie
Wtyczka Insert PHP dla WordPressa przed wersją 3.3.1 zawiera podatność na wstrzykiwanie kodu PHP, która pozwala nieuwierzytelnionym atakującym na wykonanie dowolnego kodu PHP poprzez wstrzyknięcie złośliwych shortcodów za pomocą REST API WordPressa. Atakujący mogą wysyłać żądania POST do endpointu wp-json/wp/v2/posts z spreparowaną treścią zawierającą shortcody insert_php, aby dołączyć i wykonać zdalne pliki PHP na serwerze.
Ocena ryzyka
Ryzyko dla organizacji jest krytyczne, ponieważ nieuwierzytelniony atakujący może przejąć kontrolę nad serwerem, wykonać dowolny kod PHP, co może prowadzić do kradzieży danych, instalacji złośliwego oprogramowania lub całkowitego przejęcia witryny.
Rekomendacja
Należy natychmiast zaktualizować wtyczkę Insert PHP do wersji 3.3.1 lub nowszej. Jeśli aktualizacja nie jest możliwa, należy tymczasowo wyłączyć wtyczkę i usunąć wszystkie shortcody insert_php z treści postów.
Oryginalny opis (angielski, źródło NVD)
WordPress Insert PHP plugin versions before 3.3.1 contain a PHP code injection vulnerability that allows unauthenticated attackers to execute arbitrary PHP code by injecting malicious shortcodes through the WordPress REST API. Attackers can send POST requests to the wp-json/wp/v2/posts endpoint with crafted content containing insert_php shortcodes to include and execute remote PHP files on the server.