Vulnerabilidad en AI ChatBot para WordPress (CVE-2023-5212)
Severidad:
ALTA
Type:
CWE-22
Limitación incorrecta de nombre de ruta a un directorio restringido (Path Traversal)
Fecha de publicación:
19/10/2023
Última modificación:
22/12/2023
Descripción
El complemento AI ChatBot para WordPress es vulnerable a la eliminación arbitraria de archivos en versiones hasta la 4.8.9 incluida, así como en la versión 4.9.2. Esto hace posible que atacantes autenticados con privilegios de suscriptor eliminen archivos arbitrarios en el servidor, lo que hace posible hacerse cargo de los sitios afectados, así como de otros que comparten la misma cuenta de alojamiento. La versión 4.9.1 solucionó originalmente el problema, pero se reintrodujo en 4.9.2 y se solucionó nuevamente en 4.9.3.
Impacto
Puntuación base 3.x
8.10
Severidad 3.x
ALTA
Productos y versiones vulnerables
CPE | Desde | Hasta |
---|---|---|
cpe:2.3:a:quantumcloud:ai_chatbot:*:*:*:*:*:wordpress:*:* | 4.9.1 (excluyendo) | |
cpe:2.3:a:quantumcloud:ai_chatbot:4.9.2:*:*:*:*:wordpress:*:* |
Para consultar la lista completa de nombres de CPE con productos y versiones, ver esta página
Referencias a soluciones, herramientas e información
- http://packetstormsecurity.com/files/175371/WordPress-AI-ChatBot-4.8.9-SQL-Injection-Traversal-File-Deletion.html
- https://plugins.trac.wordpress.org/browser/chatbot/trunk/includes/openai/qcld-bot-openai.php?rev=2957286#L576
- https://plugins.trac.wordpress.org/changeset?sfp_email=&sfph_mail=&reponame=&new=2977505%40chatbot/trunk&old=2967435%40chatbot/trunk
- https://www.wordfence.com/threat-intel/vulnerabilities/id/5b3f4ccb-fcc6-42ec-8e9e-03d69ae7acf2?source=cve