tegal1337/cve-2022-0441Le plugin MasterStudy LMS pour WordPress avant la version 2.7.6 ne valide pas certains paramètres fournis lors de l'enregistrement d'un nouveau compte, permettant à des utilisateurs non authentifiés de s'inscrire en tant qu'administrateur.
Une vulnérabilité classée critique a été trouvée dans le plugin MasterStudy LMS jusqu'à la version 2.7.5 sur WordPress (Plugin WordPress). Cette vulnérabilité affecte une partie inconnue du composant New Account Handler. La manipulation avec une entrée inconnue conduit à une vulnérabilité de gestion des privilèges. La définition CWE pour cette vulnérabilité est CWE-269. Le logiciel n'attribue, ne modifie, ne suit ou ne vérifie pas correctement les privilèges d'un acteur, créant ainsi une sphère de contrôle non intentionnelle pour cet acteur. En termes d'impact, cela affecte la confidentialité, l'intégrité et la disponibilité.
La faille a été divulguée le 03/07/2022 sous le numéro 2667195. L'avis est disponible sur wpscan.com. Cette vulnérabilité a été nommée CVE-2022-0441 depuis le 01/02/2022. Les détails techniques sont inconnus et aucun exploit n'est disponible. Cette vulnérabilité est assignée à T1068 par le projet MITRE ATT&CK.
La mise à niveau vers la version 2.7.6 élimine cette vulnérabilité. L'application d'un correctif permet de résoudre ce problème. Le correctif est prêt en téléchargement sur plugins.trac.wordpress.org. La meilleure atténuation possible consiste à mettre à niveau vers la dernière version.
git clona https://github.com/tegal1337/CVE-2022-0441
cd CVE-2022-0441
npm install
node index.js https://targeturl.com
https://nvd.nist.gov/vuln/detail/cve-2022-0441
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-0441