CVE-2022-2240CWE-1236

CVE-2022-2240: fallo en Request a Quote

Request a Quote <= 2.3.7 - CSV Injection

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear Request a Quote

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

3Vexday Risk Score

Sin señal de explotación. Ningún artefacto público de explotación conocido hasta ahora.

ssvc Trackepss 1.4%
En resumen

El plugin Request a Quote de WordPress hasta la versión 2.3.7 permite que cualquiera cargue un archivo CSV malicioso sin validación. Cuando un administrador descarga y abre el archivo, puede ejecutar comandos dañinos en la computadora del administrador.

Detalle técnico

El plugin no valida los archivos CSV cargados, permitiendo que atacantes no autenticados inyecten cargas útiles de inyección de fórmulas (CWE-1236) a través de anexos de cotizaciones. Cuando un administrador descarga y abre el CSV malicioso en software de hojas de cálculo, las fórmulas inyectadas se ejecutan con privilegios de administrador, lo que podría llevar a la ejecución de código o exfiltración de datos.

Resumen generado y traducido por IA a partir de la descripción oficial.
The Request a Quote WordPress plugin through 2.3.7 does not validate uploaded CSV files, allowing unauthenticated users to attach a malicious CSV file to a quote, which could lead to a CSV injection once an admin download and open it
Productos afectados
Unknown · Request a Quote
CVEs relacionadas — Request a Quote

En el mismo producto, de las más peligrosas a las menos.

CVE-2022-2239—Request a Quote < 2.3.9 - Admin+ Stored Cross-Site ScriptingEPSS 0.6%CVE-2021-24489—Request a Quote < 2.3.9 - Admin+ Stored Cross-Site ScriptingEPSS 0.6%CVE-2021-24420—Request a Quote < 2.3.4 - Authenticated Stored XSSEPSS 0.6%CVE-2024-6231MEDIUMRequest a Quote < 2.4.1 - Admin+ Stored XSSEPSS 0.4%CVE-2026-90988MEDIUMRequest a Quote <= 2.5.6 - Unauthenticated Quote Request Contact Record Disclosure via emd_get_std_pagenumEPSS 0.2%