Shinya Murakami

Uma falha de upload de arquivos não autenticados permite que atacantes remotos façam o upload de arquivos arbitrários para um site através de um campo de arquivo de formulário, pois o plugin não valida os tipos ou extensões de arquivos. Uma falha na limpeza de arquivos temporários mantém o arquivo enviado no disco. Este problema afeta potencialmente mais de 5 milhões de sites WordPress. Em configurações padrão do Apache no Debian ou Ubuntu, que listam conteúdos de diretórios e mapeiam arquivos .phar para o manipulador PHP, isso pode levar à Execução Remota de Código (RCE), que é a capacidade de executar comandos arbitrários no servidor. Em outras configurações, como nginx ou Apache com substituições de .htaccess, a falha permite que arquivos arbitrários sejam gravados no diretório de uploads, podendo ser servidos como conteúdo ativo, como HTML ou SVG.

A sanitização de entrada e a escape de saída insuficientes permitem que atacantes autenticados com nível de acesso de assinante ou superior realizem Stored Cross-Site Scripting (XSS). Isso ocorre por meio do parâmetro `ImageURL column value (populated from wp usermeta.description in the demonstrated path)`. Um atacante pode injetar scripts web arbitrários em páginas que serão executados sempre que um usuário acessar a página injetada. Isso requer que um administrador tenha publicado um shortcode DataTables sobre uma coluna de banco de dados controlada pelo atacante, como `wp usermeta.description`, com o tipo de mídia Image URL atribuído a essa coluna.

Ocorre Cross-Site Scripting Armazenado devido à sanitização de entrada e escape de saída insuficientes. Atacantes não autenticados podem injetar scripts web arbitrários em páginas que são executados quando um usuário as acessa. Este problema só é explorável se uma chave de API do Google Maps estiver configurada nas definições, pois o sumidouro vulnerável só é alcançado sob esta condição. A falha é acionada através do parâmetro `lat`.

Um problema de upload de arquivo irrestrito existe no recurso de importação de campanha. Ao processar um arquivo de campanha, a aplicação copia arquivos de ativos integrados para um diretório de mídia publicamente acessível sem restringir nomes ou tipos de arquivos. Um usuário autenticado com permissão para criar importações de campanha pode explorar isso através da interface do usuário ou do endpoint '/api/campaigns/import' para colocar arquivos arbitrários, como scripts do lado do servidor, na raiz da web. Privilégios de administrador não são necessários. Em servidores web que respeitam a configuração por diretório, como a configuração padrão do Apache na imagem Docker oficial do Mautic, isso pode levar à execução remota de código com os privilégios do usuário do servidor web, concedendo acesso a segredos da aplicação, configuração e dados de contato.