← voltar
CVE-2022-21661

SQL injection in WordPress

CVSS 8 HIGHEPSS 97.8%CWE-89
Em resumo

O WordPress possui uma vulnerabilidade de injeção SQL no WP_Query onde entradas não adequadamente sanitizadas podem permitir que atacantes executem comandos não autorizados no banco de dados através de plugins ou temas vulneráveis. Essa falha afeta múltiplas versões e requer atualização para correção.

Detalhe técnico

SQL injection (CWE-89) no WP_Query causado por sanitização insuficiente de entrada permite que atacantes injetem código SQL malicioso através de plugins ou temas que utilizam WP_Query sem parametrização apropriada. A vulnerabilidade requer exploração de plugin ou tema vulnerável, e o sucesso resulta em acesso e manipulação não autorizados do banco de dados. Corrigida na versão WordPress 5.8.3 e versões anteriores até 3.7.37.

Resumo gerado e traduzido por IA a partir da descrição oficial.
WordPress is a free and open-source content management system written in PHP and paired with a MariaDB database. Due to improper sanitization in WP_Query, there can be cases where SQL injection is possible through plugins or themes that use it in a certain way. This has been patched in WordPress version 5.8.3. Older affected versions are also fixed via security release, that go back till 3.7.37. We strongly recommend that you keep auto-updates enabled. There are no known workarounds for this vulnerability.
CVSS:3.1/AV:N/AC:H/PR:H/UI:N/S:C/C:H/I:H/A:H
Produtos afetados
WordPress · wordpress-develop
PoCs públicas encontradas — 15
githubgithub.com/z92g/CVE-2022-21661★ 27githubgithub.com/purple-WL/wordpress-CVE-2022-21661★ 17githubgithub.com/0x4E0x650x6F/Wordpress-cve-CVE-2022-21661★ 14githubgithub.com/guestzz/CVE-2022-21661★ 7githubgithub.com/sealldeveloper/CVE-2022-21661-PoC★ 6githubgithub.com/WellingtonEspindula/SSI-CVE-2022-21661★ 6githubgithub.com/daniel616/CVE-2022-21661-Demo★ 2githubgithub.com/Fauzan-Aldi/CVE-2022-21661★ 0githubgithub.com/safe3s/CVE-2022-21661★ 0githubgithub.com/p4ncontomat3/CVE-2022-21661★ 0githubgithub.com/CharonDefalt/WordPress--CVE-2022-21661★ 0githubgithub.com/w0r1i0g1ht/CVE-2022-21661★ 0githubgithub.com/7rootsec/CVE-2022-21661-Technical-Analysis★ 0cve_referencewww.exploit-db.com/exploits/50663não verificadocve_referencepacketstormsecurity.com/files/165540/WordPress-Core-5.8.2-SQL-Injection.htmlnão verificado
⚠ Recursos públicos, para você avaliar a exposição de sistemas que controla ou está autorizado a testar. Teste apenas com autorização.

Quer saber se a sua infraestrutura está exposta a isto?

Falar com a TrueHacking →
Referências
http://packetstormsecurity.com/files/165540/WordPress-Core-5.8.2-SQL-Injection.htmlhttps://github.com/WordPress/wordpress-develop/commit/17efac8c8ec64555eff5cf51a3eff81e06317214https://github.com/WordPress/wordpress-develop/security/advisories/GHSA-6676-cqfm-gw84https://lists.debian.org/debian-lts-announce/2022/01/msg00019.htmlhttps://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/CV4UNEC63UU5GEU47IIR4RMTZAHNEOJG/https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/DM6XPH3JN6V4NF4WBOJTOXZIVE6VKKE3/https://wordpress.org/news/2022/01/wordpress-5-8-3-security-release/https://www.debian.org/security/2022/dsa-5039https://www.exploit-db.com/exploits/50663https://www.vicarius.io/vsociety/posts/understanding-the-wordpress-sql-injection-vulnerability-cve-2022-21661https://www.zerodayinitiative.com/advisories/ZDI-22-020/