PT-2021-15781 · WordPress · Realteo Wordpress Plugin

M0Ze + 1 · Publicado 2021-04-22 · Atualizado 2022-07-29 · CVE-2021-24238

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.5

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:N

Nome do software vulnerável e versões afetadas

Versões do plugin Realteo para WordPress anteriores à 1.2.4

Descrição

A vulnerabilidade permite que qualquer usuário autenticado exclua propriedades arbitrárias ao adulterar o parâmetro property id, uma vez que o plugin não verifica se a propriedade solicitada para exclusão pertence ao usuário que está realizando a solicitação.

Recomendações

Para versões anteriores à 1.2.4, atualize para a versão 1.2.4 ou posterior para resolver o problema. Como solução temporária, considere restringir o acesso à funcionalidade de exclusão de propriedades para minimizar o risco de exploração. Evite usar o parâmetro property id nos pontos de extremidade da API afetados até que o problema seja resolvido.

Exploit

Correção

Improper Access Control

Enumeração de Fraquezas

CWE-425

CWE-284

Identificadores relacionados

CVE-2021-24238

Produtos afetados

Realteo Wordpress Plugin

Referências · 8

• 🔥 https://wpscan.com/vulnerability/b8434eb2-f522-484f-9227-5f581e7f48a5 · Exploit
• 🔥 https://m0ze.ru/vulnerability/[2021-03-20]-[WordPress]-[CWE-284]-Findeo-WordPress-Theme-v1.3.0.txt · Exploit
• 🔥 https://m0ze.ru/vulnerability/[2021-03-20]-[WordPress]-[CWE-284]-Realteo-WordPress-Plugin-v1.2.3.txt · Exploit
• https://docs.purethemes.net/findeo/knowledge-base/changelog-findeo · Aviso do Fabricante
• https://m0ze.ru/vulnerability/%5B2021-03-20%5D-%5BWordPress%5D-%5BCWE-284%5D-Realteo-WordPress-Plugin-v1.2.3.txt · Nota
• https://osv.dev/vulnerability/CVE-2021-24238 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2021-24238 · Nota de Segurança
• https://m0ze.ru/vulnerability/%5B2021-03-20%5D-%5BWordPress%5D-%5BCWE-284%5D-Findeo-WordPress-Theme-v1.3.0.txt · Nota