PT-2024-15147 · WordPress · The Pods – Custom Content Types/Fields
Nex Team
·
Publicado
2024-04-09
·
Atualizado
2025-01-22
·
CVE-2023-6965
CVSS v3.1
4.3
Média
| Vetor | AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N |
Nome do software vulnerável e versões afetadas
O plugin “Pods – Custom Content Types and Fields” para versões do WordPress anteriores à 3.0.11, excluindo as versões 2.7.31.2, 2.8.23.2 e 2.9.19.2.
Descrição
O problema está relacionado à falta de autorização, o que permite que invasores autenticados com acesso de colaborador ou superior criem pods e usuários com função padrão. Isso é possível devido a um recurso de inclusão de arquivos via shortcode.
Recomendações
Para versões anteriores à 3.0.11, excluindo as versões 2.7.31.2, 2.8.23.2 e 2.9.19.2, atualize para a versão 3.0.11 ou posterior para resolver o problema.
Como solução alternativa temporária, considere restringir o acesso ao recurso de inclusão de arquivos via shortcode para minimizar o risco de exploração.
Restrinja o acesso a colaboradores ou superior para impedir que invasores criem pods e usuários com função padrão.
Correção
Missing Authorization
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
The Pods – Custom Content Types/Fields