CVE-2021-44082

textpattern versão 4.8.7

A vulnerabilidade permite que um invasor remoto e não autenticado execute código remotamente ao enviar um webshell por meio de Cross Site Scripting (XSS) no endpoint “/textpattern/index.php”, especificamente no parâmetro Body. Para explorar essa vulnerabilidade, o invasor deve primeiro roubar o token CSRF antes de enviar uma solicitação de upload de arquivo.

Para a versão 4.8.7 do textpattern, como solução temporária, considere desativar o recurso de upload de arquivos no endpoint “/textpattern/index.php” até que um patch esteja disponível. Restrinja o acesso ao parâmetro Body para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.