PT-2021-15928

CVE-2021-24395

Publicado

2021-09-06

Atualizado

2021-09-09

Descrição por

CVSS 3.1

7.2

Alta

MétricasAV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Plugin “Embed Youtube Video” para WordPress, versões 1.0 e anteriores

Descrição

O problema decorre do fato de o parâmetro GET editid não ser sanitizado, escapado ou validado antes de ser inserido em uma instrução SQL, levando a uma injeção de SQL.

Recomendações

Para as versões 1.0 e anteriores do plugin Embed Youtube Video para WordPress, considere atualizar para uma versão em que o parâmetro editid seja devidamente sanitizado para evitar injeção de SQL.

Como solução temporária, considere restringir o acesso ao endpoint da API que utiliza o parâmetro editid até que um patch esteja disponível.

Explorabilidade

Exploit

Correção

Impactos

Pesquisadores

Syed Sheeraz Ali

Fornecedores

Produtos afetados

Enumeração de fraquezas

CWE-89: Improper Neutralization of Special Elements used in an SQL Command (\'SQL Injection\')

Identificadores relacionados