PT-2022-14861 · Wbcom Designs · Buddypress Group Reviews

Marco Wotschka · CVE-2022-2108 · Publicado 2022-07-18 · Atualizado 2023-10-24

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.5

Média

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N

Nome do software vulnerável e versões afetadas

Wbcom Designs – BuddyPress Group Reviews para versões do WordPress até a 2.8.3, inclusive

Descrição

A vulnerabilidade permite alterações não autorizadas nas configurações e nas avaliações devido à ausência de verificações de permissão e a verificações inadequadas de nonce em várias funções. Isso possibilita que invasores não autenticados modifiquem avaliações e configurações do plugin no site afetado.

Recomendações

Para versões até a 2.8.3, inclusive, atualize para uma versão que inclua verificações adequadas de permissão e nonce para impedir modificações não autorizadas.

Como solução temporária, considere restringir o acesso às funções relacionadas a alterações de configurações e modificações de avaliações até que um patch esteja disponível.

Correção

Missing Authorization

Enumeração de Fraquezas

CWE-862

Identificadores relacionados

CVE-2022-2108

Produtos afetados

Buddypress Group Reviews

Referências · 7

• https://plugins.trac.wordpress.org/changeset/2742109 · Correção
• https://osv.dev/vulnerability/CVE-2022-2108 · Aviso do Fabricante
• https://plugins.trac.wordpress.org/browser/review-buddypress-groups/trunk/includes/bgr-ajax.php#L359 · Nota
• https://t.me/cibsecurity/46468 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2022-2108 · Nota de Segurança
• https://wordfence.com/vulnerability-advisories/#CVE-2022-2108 · Nota
• https://wordfence.com/threat-intel/vulnerabilities/id/397dabc3-5dcf-4d1f-9e24-28af889cb76f?source=cve · Nota