Descripción
WeRSS (we-mp-rss) hasta la versión 1.5.3 contiene una vulnerabilidad de ejecución remota de código (RCE) que permite a atacantes no autenticados ejecutar código mediante el parámetro template del endpoint público GET /rss/{feed_id}. Los atacantes pueden suministrar un valor ext no integrado y una plantilla {{=expression}} cuyo recorrido de subclases de object evade la lista de denegación de eval, para ejecutar comandos del sistema operativo con la cuenta de servicio.
Qué hacer
Revisa si usas el producto afectado y en qué versión, y aplica la actualización o la mitigación que indique el aviso del fabricante. CISA no ha confirmado que se esté explotando; si eso cambia, esta ficha pasa a «explotada» y te avisamos en el boletín.
Versiones afectadas
- we-mp-rss Afectadas: hasta 1.5.3
Según el registro de la vulnerabilidad en CVE.org, tal como lo publicó el fabricante. Confirma tu versión exacta en el aviso del fabricante.
Referencias
- Aviso de hackmd.iohackmd.io/@hieuPenguinnn/werss-rss-template-unauth-ssti-rce
- Referencia en github.comgithub.com/rachelos/we-mp-rss/blob/v1.5.3/core/lax/template_parser.py
- Referencia en github.comgithub.com/rachelos/we-mp-rss/blob/v1.5.3/apis/rss.py
- Aviso de vulncheck.comvulncheck.com/advisories/werss-we-mp-rss-through-1.5.3-rce-via-templa…
Ver el texto original en inglés (CVE.org)
WeRSS (we-mp-rss) through 1.5.3 RCE via template Parameter in /rss Endpoint
WeRSS (we-mp-rss) through 1.5.3 contains a remote code execution vulnerability that allows unauthenticated attackers to run code via the template parameter of the public GET /rss/{feed_id} endpoint. Attackers can supply a non-built-in ext value and a {{=expression}} template whose object-subclass traversal bypasses the eval denylist to run OS commands as the service account.