WordPress Plugin Jetpack CRM 跨站请求伪造漏洞(CVE-2022-3342)

CVE编号

CVE-2022-3342

利用情况

暂无

补丁情况

N/A

披露时间

2022-09-27
漏洞描述
WordPress的Jetpack CRM插件在版本5.3.1及以下中存在漏洞。漏洞出现在'zeroBSCRM_CSVImporterLitehtml_app'函数中的'zbscrmcsvimpf'参数处，可导致PHAR反序列化。尽管该函数执行了一次随机数检查，但步骤2和步骤3在检查失败时不采取任何操作。这些步骤会对'zbscrmcsvimpf'的值执行'file_exists'检查。如果提供了phar://归档文件，其内容将被反序列化并注入执行流中。这使得未经身份验证的攻击者可以通过上传phar归档文件（例如，如果站点支持图像上传），然后欺骗管理员执行某个操作（如点击链接）来进行对象注入攻击。
解决建议
建议您更新当前系统或软件至最新版，完成漏洞的修复。
参考链接
https://plugins.trac.wordpress.org/browser/zero-bs-crm/trunk/includes/ZeroBSC...
https://plugins.trac.wordpress.org/changeset/2805282/zero-bs-crm/trunk/includ...
https://www.wordfence.com/threat-intel/vulnerabilities/id/98ab264f-b210-41d0-...
受影响软件情况
# 类型 厂商 产品 版本 影响面
1
运行在以下环境
应用 automattic jetpack_crm * Up to
(including)
5.3.1
CVSS3评分
7.5
  • 攻击路径
    网络
  • 攻击复杂度
    高
  • 权限要求
    无
  • 影响范围
    未更改
  • 用户交互
    需要
  • 可用性
    高
  • 保密性
    高
  • 完整性
    高
CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H
CWE-ID 漏洞类型
CWE-502 可信数据的反序列化
阿里云安全产品覆盖情况