Une vulnérabilité classée comme critique a été trouvée dans le plugin MasterStudy LMS jusqu'à la version 2.7.5 sur WordPress (plugin WordPress). Cette vulnérabilité affecte une partie inconnue du composant New Account Handler. La manipulation avec une entrée inconnue conduit à une vulnérabilité de gestion des privilèges. La définition CWE de la vulnérabilité est CWE-269. Le logiciel n'attribue, ne modifie, ne suit ou ne vérifie pas correctement les privilèges d'un acteur, créant ainsi une sphère de contrôle non intentionnelle pour cet acteur. L'impact connu concerne la confidentialité, l'intégrité et la disponibilité.

La faille a été divulguée le 03/07/2022 sous le numéro 2667195. L'avis est disponible sur wpscan.com. Cette vulnérabilité a été nommée CVE-2022-0441 depuis le 02/01/2022. Les détails techniques sont inconnus et aucun exploit n'est disponible. Cette vulnérabilité est assignée à T1068 par le projet MITRE ATT&CK.

La mise à niveau vers la version 2.7.6 élimine cette vulnérabilité. L'application d'un correctif permet d'éliminer ce problème. Le correctif est prêt à être téléchargé sur plugins.trac.wordpress.org. La meilleure mesure d'atténuation possible est suggérée comme étant la mise à niveau vers la dernière version.

Utilisation

git clona https://github.com/tegal1337/CVE-2022-0441
cd CVE-2022-0441
npm install
node index.js https://targeturl.com

Référence

https://vuldb.com/?id.194302

https://nvd.nist.gov/vuln/detail/cve-2022-0441

https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-0441