PT-2024-11911 · Freemius · Freemius Sdk

James Marsland + 2 · Publicado 2024-10-15 · Atualizado 2024-10-16 · CVE-2022-4974

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.3

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:L

Nome do software vulnerável e versões afetadas

Versões do Freemius SDK até a 2.4.2, inclusive

Versões do Freemius SDK anteriores à 2.4.3

Descrição

O problema diz respeito a falsificação de solicitação entre sites (Cross-Site Request Forgery) e divulgação de informações devido à falta de verificações de capacidade e proteção por nonce na função checkPassword(), que não é mencionada, mas as seguintes funções são: get debug log, get db option e set db option.

Recomendações

Para versões do SDK Freemius até a 2.4.2, inclusive, atualize para a versão 2.4.3 ou posterior.

Para versões do SDK Freemius anteriores à 2.4.3, atualize para a versão 2.4.3 ou posterior.

Correção

Missing Authorization

Enumeração de Fraquezas

CWE-862

Identificadores relacionados

CVE-2022-4974

Produtos afetados

Freemius Sdk

Referências · 9

• https://freemius.com/blog/managing-security-issues-open-source-freemius-sdk-security-disclosure · Nota
• https://twitter.com/CVEnew/status/1846444832559931470 · Publicação no Twitter
• https://wpdirectory.net/search/01FWPVWA7BC5DYGZHNSZQ9QMN5 · Nota
• https://web.archive.org/web/20220225174410/https%3A//www.pluginvulnerabilities.com/2022/02/25/our-security-review-of-wordpress-plugin-found-freemius-library-still-contained-vulnerabilities-3-years-after-major-security-incident · Nota
• https://t.me/cvedetector/8019 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2022-4974 · Nota de Segurança
• https://wpscan.com/vulnerability/6dae6dca-7474-4008-9fe5-4c62b9f12d0a · Nota
• https://wordfence.com/threat-intel/vulnerabilities/id/39fb0499-9ab4-4a2f-b0db-ece86bcf4d42?source=cve · Nota
• https://wpdirectory.net/search/01G02RSGMFS1TPT63FS16RWEYR · Nota