Vulnerabilidad en el parámetro "fts_url" en el plugin Feed Them Social - for Twitter feed, Youtube and more para WordPress (CVE-2022-2437)

Gravedad CVSS v3.1:

CRÍTICA

Tipo:

CWE-502 Deserialización de datos no confiables

Fecha de publicación:

18/07/2022

Última modificación:

05/05/2025

Descripción

El plugin Feed Them Social - for Twitter feed, Youtube and more para WordPress es vulnerable a una deserialización de entradas no confiables por medio del parámetro "fts_url" en versiones hasta la 2.9.8.5 incluyéndola. Esto hace posible que atacantes no autenticados llamen a los archivos usando un envoltorio PHAR que de serializará los datos y llamará a objetos PHP arbitrarios que pueden ser usados para llevar a cabo una variedad de acciones maliciosas concedidas una cadena POP también está presente. También requiere que el atacante tenga éxito en cargar un archivo con la carga útil serializada

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H CVSS v3.1 Severidad y Métricas:

Puntuación base: 9.80 CRÍTICA
Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Alto
Impacto a la integridad (I): Alto
Impacto a la disponibilidad (A): Alto