Vulnerabilidad en el archivo wp_all_import_get_gz.php en el plugin WP All Import (CVE-2022-1565)
Severidad:
ALTA
Type:
CWE-434
Subida sin restricciones de ficheros de tipos peligrosos
Fecha de publicación:
18/07/2022
Última modificación:
07/11/2023
Descripción
El plugin WP All Import es vulnerable a ua carga de archivos arbitrarios debido a una falta de comprobación del tipo de archivo por medio del archivo wp_all_import_get_gz.php en versiones hasta 3.6.7 incluyéndola. Esto hace posible que atacantes autenticados, con permisos de nivel de administrador y superiores, suban archivos arbitrarios en el servidor de los sitios afectados, lo que puede hacer posible una ejecución de código remota
Impacto
Puntuación base 3.x
7.20
Severidad 3.x
ALTA
Productos y versiones vulnerables
CPE | Desde | Hasta |
---|---|---|
cpe:2.3:a:wpallimport:wp_all_import:*:*:*:*:*:wordpress:*:* | 3.6.8 (excluyendo) |
Para consultar la lista completa de nombres de CPE con productos y versiones, ver esta página