PT-2026-85464 · WordPress · Gw Ai Website Builder
CVSS v3.1
9.8
Crítica
| Vetor | AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
Nome do Software Vulnerável e Versões Afetadas
AI Website Builder WordPress plugin (GitHub build) versão 1.0.0
Descrição
A ausência de verificações de autorização e nonce nas rotas da REST API permite que atacantes não autenticados realizem diversas ações não autorizadas. Estas incluem a instalação e ativação de plugins e temas, a importação de conteúdo de uma URL controlada e a exclusão de conteúdo e mídia do site. Além disso, atacantes podem gravar arquivos arbitrários no diretório de uploads. Em ambientes onde o servidor está configurado para executar arquivos PHP a partir do diretório de uploads, isso pode levar à execução remota de código (RCE), que é a capacidade de executar comandos arbitrários no servidor.
Recomendações
Atualize o AI Website Builder WordPress plugin (GitHub build) versão 1.0.0 para uma versão que implemente verificações adequadas de autorização e nonce em suas rotas de REST API.
Exploit
Correção
Missing Authorization
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Gw Ai Website Builder