PT-2024-15733 · WordPress · Advanced Database Cleaner

Richard Telleng + 1 · Publicado 2024-02-05 · Atualizado 2024-02-13 · CVE-2024-0668

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.2

Alta

Vetor base

AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Plugin Advanced Database Cleaner para versões do WordPress até a 3.1.3, inclusive

Descrição

A vulnerabilidade permite que um invasor autenticado com acesso de administrador ou superior injete um objeto PHP por meio da desserialização de entradas não confiáveis na função process bulk action. Se houver uma cadeia POP por meio de um plugin ou tema adicional instalado no sistema alvo, isso poderia permitir que o invasor exclua arquivos arbitrários, recupere dados confidenciais ou execute código.

Recomendações

Para versões até a 3.1.3, inclusive, atualize para uma versão que corrija a vulnerabilidade de injeção de objeto PHP para evitar a exploração. Como solução temporária, considere restringir o acesso à função process bulk action até que um patch esteja disponível.

Correção

Deserialization of Untrusted Data

Enumeração de Fraquezas

CWE-502

Identificadores relacionados

CVE-2024-0668

Produtos afetados

Advanced Database Cleaner

Referências · 8

• https://plugins.trac.wordpress.org/browser/advanced-database-cleaner/tags/3.1.3/includes/class_clean_cron.php#L224 · Nota
• https://plugins.trac.wordpress.org/changeset/3025980 · Correção
• https://osv.dev/vulnerability/CVE-2024-0668 · Aviso do Fabricante
• https://plugins.trac.wordpress.org/browser/advanced-database-cleaner/tags/3.1.3/includes/class_clean_cron.php#L298 · Nota
• https://wordfence.com/threat-intel/vulnerabilities/id/e0b8c24b-3e51-4637-9d8e-da065077d082?source=cve · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2024-0668 · Nota de Segurança
• https://twitter.com/VulmonFeeds/status/1754671922275553556 · Publicação no Twitter
• https://twitter.com/CVEnew/status/1754620490541355098 · Publicação no Twitter