PT-2024-10843 · WordPress · Indeed Membership Pro

Norman Riffat · Publicado 2024-10-15 · Atualizado 2024-10-19 · CVE-2020-36833

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.3

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:L

Nome do software vulnerável e versões afetadas

Plugin Indeed Membership Pro para WordPress, versões 7.3 a 8.6

Descrição

O plugin Indeed Membership Pro para WordPress está vulnerável a contornamento de autorização devido à ausência de verificações de permissão em várias ações AJAX. Isso permite que um invasor autenticado, com permissão mínima, como um assinante, execute diversas ações, incluindo a modificação de configurações e a visualização de dados confidenciais.

Recomendações

Para as versões 7.3 a 8.6, atualize para uma versão que inclua as verificações de permissão necessárias para impedir a burla de autorização. Como solução temporária, considere restringir o acesso às ações AJAX vulneráveis até que um patch esteja disponível.

Correção

Missing Authorization

Enumeração de Fraquezas

CWE-862

Identificadores relacionados

CVE-2020-36833

Produtos afetados

Indeed Membership Pro

Referências · 8

• https://twitter.com/transilienceai/status/1847688149578686852 · Publicação no Twitter
• https://wordfence.com/threat-intel/vulnerabilities/id/ab1cc1ef-d0e0-491d-91a8-eaa0605fc1da?source=cve · Nota
• https://twitter.com/transilienceai/status/1846962881042305499 · Publicação no Twitter
• https://wpscan.com/vulnerability/9811025e-ab17-4255-aaaf-4f0306f5d281 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2020-36833 · Nota de Segurança
• https://twitter.com/transilienceai/status/1847688155270418450 · Publicação no Twitter
• https://twitter.com/transilienceai/status/1847326413021495653 · Publicação no Twitter
• https://twitter.com/CVEnew/status/1846444809801683221 · Publicação no Twitter