PT-2024-15700 · WordPress · Paid Memberships Pro
Kodai Kubono
+1
·
Publicado
2024-01-24
·
Atualizado
2024-01-31
·
CVE-2024-0624
CVSS v3.1
5.3
Média
| Vetor | AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N |
Nome do software vulnerável e versões afetadas
Paid Memberships Pro – plugin de restrição de conteúdo, registro de usuários e assinaturas pagas para versões do WordPress até a 2.12.7, inclusive
Descrição
O problema está relacionado a Cross-Site Request Forgery devido à falta ou à validação incorreta do nonce na função
pmpro update level order(). Isso permite que invasores não autenticados atualizem a ordem dos níveis por meio de uma solicitação falsificada, caso consigam induzir um administrador do site a realizar uma ação, como clicar em um link.Recomendações
Para versões até a 2.12.7, inclusive, atualize para uma versão superior à 2.12.7 para resolver o problema. Como solução temporária, considere desativar a função
pmpro update level order() até que um patch esteja disponível. Restrinja o acesso às funcionalidades do plugin para minimizar o risco de exploração. Evite usar o recurso de atualização da ordem dos níveis do plugin até que o problema seja resolvido.Correção
CSRF
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Paid Memberships Pro