PT-2021-16357 · WordPress · Advanced Forum
Suppawit Punhakit
·
Publicado
2021-11-23
·
Atualizado
2021-11-29
·
CVE-2021-24892
CVSS v3.1
8.8
Alta
| Vetor | AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H |
**Nome do software vulnerável e versões afetadas:
Versões do Advanced Forms (Free e Pro) anteriores à 1.6.9
Descrição:
A vulnerabilidade permite que um invasor remoto autenticado altere o endereço de e-mail de um usuário arbitrário e solicite uma redefinição de senha, o que pode levar ao comprometimento de uma conta de administrador do WordPress. Para explorar essa vulnerabilidade, o invasor deve primeiro se registrar para obter uma conta de usuário válida no WordPress e, em seguida, usar essa conta para se autenticar no WordPress e explorar a função de edição vulnerável.
Recomendações:
Para versões anteriores à 1.6.9, atualize para a versão 1.6.9 ou posterior para resolver o problema. Como solução temporária, considere restringir o acesso à função de edição no Advanced Forms até que a atualização possa ser aplicada. Além disso, monitore a atividade da conta do usuário em busca de alterações suspeitas no endereço de e-mail e solicitações de redefinição de senha.
Exploit
Correção
IDOR
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Advanced Forum