PT-2024-15570 · WordPress · Ai Chatbot

Francesco Carlucci · Publicado 2024-05-22 · Atualizado 2025-05-12 · CVE-2024-0451

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.0

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:C/C:L/I:N/A:N

Nome do software vulnerável e versões afetadas

Plugin AI ChatBot para o WordPress, versões até a 5.3.4, inclusive

Descrição

O problema está relacionado ao acesso não autorizado a dados devido à ausência de uma verificação de permissão na função openai file list callback. Isso permite que invasores autenticados com acesso de nível de assinante ou superior listem os arquivos existentes em uma conta OpenAI vinculada.

Recomendações

Para versões até a 5.3.4, inclusive, atualize para uma versão que inclua uma correção para a falta de verificação de permissão na função openai file list callback.

Como solução temporária, considere restringir o acesso à função openai file list callback até que um patch esteja disponível.

Correção

Improper Access Control

Missing Authorization

Enumeração de Fraquezas

CWE-284

CWE-862

Identificadores relacionados

CVE-2024-0451

Produtos afetados

Ai Chatbot

Referências · 8

• https://t.me/cvenotify/121741 · Publicação no Telegram
• https://t.me/cvenotify/80625 · Publicação no Telegram
• https://twitter.com/CVEnew/status/1793284100910116923 · Publicação no Twitter
• https://plugins.trac.wordpress.org/changeset/3089461/chatbot/trunk/includes/openai/qcld-bot-openai.php · Correção
• https://osv.dev/vulnerability/CVE-2024-0451 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2024-0451 · Nota de Segurança
• https://plugins.trac.wordpress.org/browser/chatbot/trunk/includes/openai/qcld-bot-openai.php#L175 · Nota
• https://wordfence.com/threat-intel/vulnerabilities/id/1c0572a5-6cc9-43ab-a4a3-c8d3b93c8fcf?source=cve · Nota