PT-2024-14909 · WordPress · The Eventon

Francesco Carlucci · Publicado 2024-01-11 · Atualizado 2024-01-18 · CVE-2023-6242

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.5

Média

Vetor base

AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N

Nome do software vulnerável e versões afetadas

Plugin EventON - Calendário de Eventos Virtuais para WordPress, versões 2.2.7 e anteriores (versão gratuita)

Plugin EventON - Calendário de Eventos Virtuais para WordPress, versões 4.5.4 e anteriores (versão Pro)

Descrição

O problema se deve à falta ou à validação incorreta do nonce na função evo eventpost update meta, possibilitando que invasores não autenticados atualizem metadados de postagens arbitrárias por meio de uma solicitação falsificada. Isso pode ocorrer se um invasor conseguir induzir um administrador do site a realizar uma ação, como clicar em um link.

Recomendações

Para as versões 2.2.7 e anteriores (para a versão gratuita), atualize para uma versão posterior à 2.2.7 para resolver o problema.

Para as versões 4.5.4 e anteriores (para a versão Pro), atualize para uma versão posterior à 4.5.4 para resolver o problema.

Como solução temporária, considere desativar a função evo eventpost update meta até que um patch esteja disponível.

Correção

CSRF

Enumeração de Fraquezas

CWE-352

Identificadores relacionados

CVE-2023-6242

Produtos afetados

The Eventon

Referências · 8

• https://plugins.trac.wordpress.org/changeset/3017578/eventon-lite/trunk/includes/admin/class-admin-ajax.php · Correção
• https://osv.dev/vulnerability/CVE-2023-6242 · Aviso do Fabricante
• https://plugins.trac.wordpress.org/changeset/3017939 · Nota
• https://twitter.com/CVEnew/status/1745467916357701787 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2023-6242 · Nota de Segurança
• https://t.me/cvenotify/67062 · Publicação no Telegram
• https://docs.myeventon.com/documentations/eventon-changelog · Nota
• https://wordfence.com/threat-intel/vulnerabilities/id/c8e9a333-a6b7-4b5e-93c1-b95566e5d6fb?source=cve · Correção