CVE-2018-25324

Nome do Software Vulnerável e Versões Afetadas Simple Fields versões 0.2 through 0.3.5

Descrição Um problema de inclusão de arquivo local permite que atacantes não autenticados leiam arquivos arbitrários, como /etc/passwd, injetando bytes nulos no parâmetro wp abspath dentro do arquivo 'simple fields.php'. Isso ocorre em versões do PHP anteriores a 5.3.4. Além disso, se a configuração allow url include estiver habilitada, atacantes podem injetar código PHP nos logs do Apache para alcançar a execução remota de código.

Recomendações Atualize o Simple Fields para uma versão posterior a 0.3.5. Como mitigação temporária, restrinja o acesso ao arquivo 'simple fields.php' ou evite usar o parâmetro wp abspath até que a atualização seja aplicada.