Udnyttet sårbarhed
properfraction profilepress Missing Authentication for Critical Function
ProfilePress (wp-user-avatar) WordPress-plugin før 4.17.2 indeholder en uauthentificeret remote code execution-sårbarhed, der tillader uauthentificerede angribere at installere og aktivere vilkårlige plugins ved at brute-force et svagt 32-bit connect-token via AJAX-handleren ppress_connect_process. Angribere kan levere en kallercontrolleret URL gennem parameteren file request for at udløse stille plugin-installation og aktivering, hvilket opnår PHP-kodeudførelse som web-server-brugeren.
Medlemmer ser hvilke nordiske sektorer sårbarheden rammer, og hvad de skal gøre.
Data: NVD (public domain), CISA KEV, FIRST EPSS, MITRE ATT&CK, AlienVault OTX. NVD