j4k0m/cve-2021-24499Script di sfruttamento di massa automatizzato per CVE-2021-24499, una vulnerabilità di upload di file non autenticato nel tema WordPress Workreap che porta all'esecuzione remota di codice.
Sfruttamento di massa di CVE-2021-24499: upload non autenticato che porta all'esecuzione remota di codice nel tema Workreap.
Le azioni AJAX workreap_award_temp_file_uploader e workreap_temp_file_uploader non eseguivano controlli nonce, né verificavano in alcun altro modo che la richiesta provenisse da un utente valido. Gli endpoint consentivano il caricamento di file arbitrari nella directory uploads/workreap-temp. I file caricati non venivano né sanitizzati né validati, consentendo a un visitatore non autenticato di caricare codice eseguibile come script php.
