PT-2024-15551 · WordPress · Index Now

Francesco Carlucci · Publicado 2024-02-05 · Atualizado 2024-02-13 · CVE-2024-0428

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Plugin Index Now para versões do WordPress até a 2.6.3, inclusive

Descrição

O problema está relacionado a Cross-Site Request Forgery devido à falta ou à validação incorreta do nonce na função reset form. Isso permite que invasores não autenticados excluam opções arbitrárias do site por meio de uma solicitação falsificada, caso consigam induzir um administrador do site a realizar uma ação específica, como clicar em um link.

Recomendações

Para versões até a 2.6.3, inclusive, considere desativar a função reset form como uma solução temporária até que um patch esteja disponível. Restrinja o acesso ao plugin Index Now para minimizar o risco de exploração. Evite usar o plugin Index Now até que o problema seja resolvido.

Correção

CSRF

Enumeração de Fraquezas

CWE-352

Identificadores relacionados

CVE-2024-0428

Produtos afetados

Index Now

Referências · 6

• https://osv.dev/vulnerability/CVE-2024-0428 · Aviso do Fabricante
• https://twitter.com/VulmonFeeds/status/1754652135327670747 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2024-0428 · Nota de Segurança
• https://wordfence.com/threat-intel/vulnerabilities/id/c7641d52-e930-4143-9180-2903d018da91?source=cve · Nota
• https://plugins.trac.wordpress.org/changeset/3020958/mihdan-index-now/tags/2.6.4/src/Views/WPOSA.php · Correção
• https://twitter.com/CVEnew/status/1754620494387499277 · Publicação no Twitter