PT-2024-14929 · WordPress · The Master Slider

Rafshanzani Suhada · CVE-2023-6326 · Publicado 2024-03-02 · Atualizado 2025-01-07

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.4

Média

Vetor base

AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:L

Nome do software vulnerável e versões afetadas

O plugin Master Slider – Responsive Touch Slider para versões do WordPress até a 3.9.3, inclusive

Descrição

O problema está relacionado a Cross-Site Request Forgery devido à falta ou incorreção na validação do nonce na função process bulk action. Isso permite que invasores não autenticados dupliquem ou excluam sliders arbitrários por meio de uma solicitação falsificada, caso consigam induzir um administrador do site a realizar uma ação, como clicar em um link.

Recomendações

Para versões até a 3.9.3, inclusive, atualize para uma versão que inclua a correção para a validação de nonce ausente ou incorreta na função process bulk action.

Como solução temporária, considere restringir o acesso à função process bulk action até que um patch esteja disponível.

Correção

CSRF

Enumeração de Fraquezas

CWE-352

Identificadores relacionados

CVE-2023-6326

Produtos afetados

The Master Slider

Referências · 8

• https://t.me/cvenotify/106620 · Publicação no Telegram
• https://twitter.com/CVEnew/status/1763888053423321175 · Publicação no Twitter
• https://plugins.trac.wordpress.org/browser/master-slider/trunk/admin/includes/classes/class-msp-list-table.php · Nota
• https://t.me/cvenotify/72863 · Publicação no Telegram
• https://wordfence.com/threat-intel/vulnerabilities/id/5e0a7108-15ef-42d0-adce-fd5b0e6faf3c?source=cve · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2023-6326 · Nota de Segurança
• https://plugins.trac.wordpress.org/changeset/3138224/master-slider/trunk/admin/includes/classes/class-msp-list-table.php · Nota
• https://osv.dev/vulnerability/CVE-2023-6326 · Aviso do Fabricante