PT-2024-15150 · WordPress · The Moneytizer
CVSS v3.1
8.1
Alta
| Vetor | AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N |
Nome do software vulnerável e versões afetadas
O plugin Moneytizer para versões do WordPress até a 9.5.20, inclusive
Descrição
O problema se deve à falta ou à validação incorreta do nonce em várias funções AJAX, possibilitando que invasores não autenticados atualizem e recuperem dados de cobrança e bancários, atualizem e redefinam as configurações do plugin e atualizem idiomas, bem como realizem outras ações de menor gravidade por meio de uma solicitação falsificada. Isso pode ocorrer se os invasores conseguirem induzir um administrador do site a realizar uma ação, como clicar em um link.
Recomendações
Para versões até e incluindo a 9.5.20, atualize para uma versão superior à 9.5.20 para resolver o problema.
Como solução temporária, considere restringir o acesso às funções AJAX até que um patch esteja disponível.
Restrinja o acesso às configurações do plugin e aos detalhes de cobrança para minimizar o risco de exploração.
Evite usar o plugin até que o problema seja resolvido.
Correção
Improper Access Control
CSRF
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
The Moneytizer