Vulnerabilidad en mFolio Lite para WordPress (CVE-2024-9307)

Gravedad CVSS v3.1:

ALTA

Tipo:

CWE-434 Subida sin restricciones de ficheros de tipos peligrosos

Fecha de publicación:

06/11/2024

Última modificación:

08/11/2024

Descripción

El complemento mFolio Lite para WordPress es vulnerable a las cargas de archivos debido a la falta de una comprobación de capacidad en todas las versiones hasta la 1.2.1 incluida. Esto permite que atacantes autenticados, con acceso de nivel de autor o superior, inyecten scripts web arbitrarios en las páginas que se ejecutarán siempre que un usuario acceda al archivo SVG o cargue archivos EXE arbitrarios en el servidor del sitio afectado, lo que puede hacer posible la ejecución remota de código si el atacante también puede obtener acceso para ejecutar el archivo .exe o engañar a un visitante del sitio para que descargue y ejecute el archivo .exe.

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H CVSS v3.1 Severidad y Métricas:

Puntuación base: 8.80 ALTA
Vector: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Bajo
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Alto
Impacto a la integridad (I): Alto
Impacto a la disponibilidad (A): Alto