CVE-2022-2240CWE-1236

CVE-2022-2240: falha em Request a Quote

Request a Quote <= 2.3.7 - CSV Injection

Publicada em · Atualizada em

Seguir esta CVE+ Monitorar Request a Quote

Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.

3Vexday Risk Score

Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.

ssvc Trackepss 1.4%
Em resumo

O plugin Request a Quote do WordPress até a versão 2.3.7 permite que qualquer pessoa envie um arquivo CSV malicioso sem validação. Quando um administrador baixa e abre o arquivo, ele pode executar comandos prejudiciais no computador do admin.

Detalhe técnico

O plugin não valida arquivos CSV enviados, permitindo que atacantes não autenticados injetem cargas úteis de injeção de fórmulas (CWE-1236) através de anexos de cotações. Quando um administrador baixa e abre o CSV malicioso em software de planilha, as fórmulas injetadas são executadas com privilégios de admin, podendo levar à execução de código ou exfiltração de dados.

Resumo gerado e traduzido por IA a partir da descrição oficial.
The Request a Quote WordPress plugin through 2.3.7 does not validate uploaded CSV files, allowing unauthenticated users to attach a malicious CSV file to a quote, which could lead to a CSV injection once an admin download and open it
Produtos afetados
Unknown · Request a Quote
CVEs relacionadas — Request a Quote

No mesmo produto, das mais perigosas para as menos.

CVE-2022-2239—Request a Quote < 2.3.9 - Admin+ Stored Cross-Site ScriptingEPSS 0.6%CVE-2021-24489—Request a Quote < 2.3.9 - Admin+ Stored Cross-Site ScriptingEPSS 0.6%CVE-2021-24420—Request a Quote < 2.3.4 - Authenticated Stored XSSEPSS 0.6%CVE-2024-6231MEDIUMRequest a Quote < 2.4.1 - Admin+ Stored XSSEPSS 0.4%CVE-2026-90988MEDIUMRequest a Quote <= 2.5.6 - Unauthenticated Quote Request Contact Record Disclosure via emd_get_std_pagenumEPSS 0.2%