جزئیات آسیب‌پذیری
CVE-2021-29447
WordPress wordpress-develop
WordPress Authenticated XXE attack when installation is running PHP 8
CVSS 3.1
7.1بالا
شرح رسمی (انگلیسی)
Wordpress is an open source CMS. A user with the ability to upload files (like an Author) can exploit an XML parsing issue in the Media Library leading to XXE attacks. This requires WordPress installation to be using PHP 8. Access to internal files is possible in a successful XXE attack. This has been patched in WordPress version 5.7.1, along with the older affected versions via a minor release. We strongly recommend you keep auto-updates enabled.
امتیازهای CVSS
| امتیاز | نسخه | منبع | بردار |
|---|---|---|---|
| 7.1بالا | 3.1 | CVEProject cvelistV5 (CNA) (GitHub_M) | CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:L/A:N |
محصولات آسیب‌پذیر
| فروشنده | محصول | نسخه‌ها | منبع |
|---|---|---|---|
| WordPress | wordpress-develop | >= 5.6.0, < 5.7.1 | CVEProject cvelistV5 (CNA) |
منابع و راهنماها
۷- https://github.com/WordPress/wordpress-develop/security/advisories/GHSA-rv47-pc52-qrhh x_refsource_CONFIRM
- https://wordpress.org/news/category/security/ x_refsource_MISC
- https://lists.debian.org/debian-lts-announce/2021/04/msg00017.html mailing-listx_refsource_MLIST
- https://www.debian.org/security/2021/dsa-4896 vendor-advisoryx_refsource_DEBIAN
- http://packetstormsecurity.com/files/163148/XML-External-Entity-Via-MP3-File-Upload-On-WordPress.html x_refsource_MISC
- http://packetstormsecurity.com/files/164198/WordPress-5.7-Media-Library-XML-Injection.html x_refsource_MISC
- https://blog.sonarsource.com/wordpress-xxe-security-vulnerability/ x_refsource_MISC
کانال تلگرام کُلون @kolunsec_fa
تازه‌های KEV، خبرهای مهم و خلاصه‌ی روزانه
هشدار CVEهای بعدی این محصولمحصول را دنبال کنید تا آسیب‌پذیری‌های تازه را در تلگرام بگیرید.
اطلاعات
- تاریخ انتشار
- ۱۴۰۰/۰۱/۲۷
- آخرین به‌روزرسانی
- ۱۴۰۳/۰۵/۱۴
- وضعیت
- منتشرشده
- صادرکننده (CNA)
- GitHub_M
- اولویت کُلون
- ۴۶ · متوسط
پیش‌بینی بهره‌برداری (EPSS)
۸۵٫۷۱٪
احتمال بهره‌برداری در ۳۰ روز
۹۹٫۷٪
صدک (نسبت به همه‌ی CVEها)
ضعف‌ها (CWE)
- CWE-611{"CWE-611":"Improper Restriction of XML External Entity Reference"}