CVE-2020-7947

CSV injection w pluginie Login by Auth0 dla WordPress (przed 4.0.0)

CVSS 9.8v3.1pub. 2020-04-01upd. 2024-11-21

Plugin Login by Auth0 dla WordPress w wersjach przed 4.0.0 nie sanityzuje danych użytkowników przed ich eksportem, co umożliwia atak typu CSV injection. Podatność może zostać wykorzystana przez nieuwiertelnionego atakującego sieciowo, co nadaje jej krytyczny poziom CVSS 9.8.

▸ Pokaż oryginał (EN)

An issue was discovered in the Login by Auth0 plugin before 4.0.0 for WordPress. It has numerous fields that can contain data that is pulled from different sources. One issue with this is that the data isn't sanitized, and no input validation is performed, before the exporting of the user data. This can lead to (at least) CSV injection if a crafted Excel document is uploaded.

🤖 Analiza AI

Jak działa

Plugin pobiera dane z różnych źródeł i umieszcza je w wielu polach formularzy, jednak przed eksportem tych danych nie jest przeprowadzana żadna sanityzacja ani walidacja danych wejściowych. Atakujący może przesłać spreparowany dokument Excel zawierający złośliwe formuły, które zostaną osadzone w eksportowanym pliku CSV. Po otwarciu takiego pliku przez administratora lub innego użytkownika w arkuszu kalkulacyjnym złośliwe formuły mogą zostać wykonane.

Skutki

Atakujący może doprowadzić do wykonania złośliwych poleceń na stacji roboczej osoby otwierającej spreparowany plik CSV, co może skutkować kradzieżą danych, przejęciem konta lub dalszym kompromitowaniem środowiska ofiary.

Mitygacja

Należy zaktualizować plugin Login by Auth0 do wersji 4.0.0 lub nowszej. Szczegółowe informacje o patchu dostępne są w biuletynie bezpieczeństwa Auth0 z dnia 2020-03-31 oraz w referencjach producenta.

Kogo dotyczy

Plugin Login by Auth0 (wp-auth0) dla WordPress w wersjach przed 4.0.0

Uwagi

Pomimo krytycznego wyniku CVSS 9.8, rzeczywisty wektor ataku ogranicza się do CSV injection (CWE-1236), który wymaga interakcji po stronie ofiary (otwarcie pliku CSV w arkuszu kalkulacyjnym). Podatność nie jest notowana w CISA KEV.