AskAnyに認証不要のコード実行脆弱性、修正版2.2.0
Summary
WordPressのチャットプラグインAskAnyに、ログイン不要でPHPファイルを置かれてコードを実行される脆弱性があります。2.2.0未満を使うサイトは2.2.0へ更新し、訪問者の添付が有効かどうかも確認してください。
AI summary
Produced by SecPulse using an external AI model; it may contain mistakes. Check the original description and references below before acting on it.
WordPressのチャットプラグインAskAnyに、ログイン不要でPHPファイルを置かれてコードを実行される脆弱性があります。2.2.0未満を使うサイトは2.2.0へ更新し、訪問者の添付が有効かどうかも確認してください。
Affected packages
| Package | Affected → Fixed | |
|---|---|---|
| CVE の記録AskAny |
< 2.2.0→ 2.2.0 |
2.2.0 |
Original description The description as published by the source.
The AskAny WordPress plugin before 2.2.0 does not validate the extension or content of files attached to chat messages, trusting the browser-supplied file type instead, which allows unauthenticated users to upload PHP files and execute arbitrary code when visitor attachments are enabled.
Source: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
References
- web contact@wpscan.com
- web nvd.nist.gov
- web wpscan.com
- web github.com