CVE-2022-0142

CSV Injection w pluginie Visual Form Builder dla WordPress

CVSS 9.8v3.1pub. 2022-04-12upd. 2024-11-21

Plugin Visual Form Builder dla WordPress w wersjach przed 3.0.8 jest podatny na CSV injection, umożliwiając atakującemu osadzenie złośliwych poleceń w eksportowanym pliku CSV. Podatność jest szczególnie niebezpieczna, ponieważ nie wymaga żadnych uprawnień lub wymaga jedynie minimalnych uprawnień do jej wykorzystania.

▸ Pokaż oryginał (EN)

The Visual Form Builder WordPress plugin before 3.0.8 is vulnerable to CSV injection allowing a user with low level or no privileges to inject a command that will be included in the exported CSV file, leading to possible code execution.

🤖 Analiza AI

Jak działa

Atakujący wprowadza złośliwie spreparowane dane do pól formularza obsługiwanego przez podatny plugin. Dane te trafiają do bazy i są następnie uwzględniane w pliku CSV generowanym podczas eksportu. Gdy administrator lub inny użytkownik otworzy wyeksportowany plik CSV w arkuszu kalkulacyjnym (np. Microsoft Excel, LibreOffice Calc), aplikacja może automatycznie zinterpretować osadzone polecenia i wykonać je na komputerze ofiary.

Skutki

Atakujący może doprowadzić do wykonania dowolnych poleceń (RCE) na stacji roboczej osoby otwierającej zainfekowany plik CSV, co może skutkować przejęciem kontroli nad tym urządzeniem, kradzieżą danych lub dalszym lateral movement w sieci.

Mitygacja

Należy zaktualizować plugin Visual Form Builder do wersji 3.0.8 lub nowszej. Dodatkowo zaleca się skonfigurowanie arkuszy kalkulacyjnych tak, aby nie wykonywały automatycznie formuł z zewnętrznych plików CSV, oraz weryfikację danych wejściowych przyjmowanych przez formularze.