CVE-2020-37071: Plugin vCard do CraftCMS: desserialização de dados não confiáveis leva a execução remota de código

Visão geral

O registro descreve o Plugin vCard do CraftCMS 3 versão 1.0.0 como contendo uma vulnerabilidade de desserialização (CWE-502). Segundo o registro, atacantes não autenticados podem executar código PHP arbitrário por meio de um payload elaborado relacionado à funcionalidade de download de vCard do plugin. O CNA é a VulnCheck, a data de publicação no registro é 2026-02-03 e o status de origem do registro é Deferred.

Impacto

O registro informa pontuação base CVSS 3.1 de 9.8 (crítica), com vetor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H. Isso indica acesso pela rede, sem privilégios nem interação do usuário, e alto impacto em confidencialidade, integridade e disponibilidade.
O mesmo fornecedor também lista pontuação CVSS 4.0 de 9.3.
A execução arbitrária de código normalmente permitiria ao atacante controlar o processo do servidor web. Trata-se de inferência a partir da descrição, não de resultado confirmado pelas fontes.

Produtos e versões afetadas

O registro cita o Plugin vCard do CraftCMS 3, versão 1.0.0.
A lista estruturada de itens afetados está vazia, portanto a faixa completa de versões afetadas é desconhecida.
Página do plugin: Plugin vCard do CraftCMS.

Status de exploração

O registro indica que a CVE não consta no catálogo KEV da CISA, portanto não é possível afirmar exploração ativa com base no KEV.
O registro referencia material público de terceiros, incluindo uma entrada na Exploit-DB e um repositório no GitLab. A presença dessas referências mostra que há material público de exploração, mas não confirma o seu alcance.
Nenhuma exploração confirmada aparece nas fontes consultadas.

Correção e mitigação

O registro não contém versão corrigida nem lista de correções do fornecedor, portanto o status de correção é desconhecido. A ausência desses dados não significa que não exista correção.
Verifique a página do plugin e o aviso da VulnCheck para atualizações, e confirme a versão instalada.
Se não for possível confirmar uma correção, considere desativar ou remover o plugin onde ele não for necessário, restringir a exposição de rede do site e limitar o acesso à funcionalidade afetada.
Trate o componente como possível caminho de execução remota de código até que sua situação de versão seja verificada.

Orientações de detecção

Faça o inventário de todas as instalações do CraftCMS e registre se o plugin vCard está presente e qual versão está instalada.
Analise os logs do servidor web e da aplicação em busca de atividade incomum na funcionalidade de download de vCard.
Observe processos filhos inesperados do runtime PHP, arquivos novos ou modificados em diretórios acessíveis pela web e conexões de saída iniciadas pelo servidor web.

Limitações das informações disponíveis

O registro não possui faixa de versões afetadas nem versão corrigida.
Não há dados de EPSS ou SSVC no registro.
O status de origem do registro é Deferred.
A descrição da falha vem do registro e não foi verificada de forma independente em aviso do fornecedor.

Perguntas frequentes

O que é a CVE-2020-37071?

É uma vulnerabilidade de desserialização (CWE-502) no Plugin vCard do CraftCMS 3 versão 1.0.0, que, segundo o registro, pode levar à execução arbitrária de código PHP sem autenticação.

Qual é a gravidade segundo o registro?

O registro traz pontuação base CVSS 3.1 de 9.8 (crítica) e pontuação CVSS 4.0 de 9.3, ambas da VulnCheck.

Há exploração confirmada na natureza?

O registro indica que a CVE não consta no catálogo KEV da CISA, e nenhuma exploração confirmada aparece nas fontes consultadas.

Quais versões estão corrigidas?

O registro não contém dados de versões corrigidas, então o status de correção é desconhecido. Consulte a página do plugin e o aviso da VulnCheck para atualizações.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.