PT-2024-15744 · WordPress · Wp Private Content Plus

Francesco Carlucci · CVE-2024-0680 · Publicado 2024-02-28 · Atualizado 2024-02-28

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.3

Média

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N

Nome do software vulnerável e versões afetadas

Plugin WP Private Content Plus para versões do WordPress até a 3.6, inclusive

Descrição

O problema está relacionado à divulgação de informações, pois o plugin não restringe adequadamente o acesso às publicações por meio da API REST quando uma página é definida como privada. Isso permite que invasores não autenticados visualizem publicações protegidas.

Recomendações

Para versões até a 3.6, inclusive, atualize para uma versão posterior à 3.6 para resolver o problema.

Como solução temporária, considere restringir o acesso à API REST até que um patch esteja disponível.

Correção

Protection Mechanism Failure

Enumeração de Fraquezas

CWE-693

Identificadores relacionados

CVE-2024-0680

Produtos afetados

Wp Private Content Plus

Referências · 7

• https://nvd.nist.gov/vuln/detail/CVE-2024-0680 · Nota de Segurança
• https://wordpress.org/plugins/wp-private-content-plus · Nota
• https://osv.dev/vulnerability/CVE-2024-0680 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/1762758943422464510 · Publicação no Twitter
• https://wordfence.com/threat-intel/vulnerabilities/id/43d8904f-3bc9-4c67-b44b-8d78762b6b30?source=cve · Nota
• https://plugins.trac.wordpress.org/changeset?sfp_email=&sfph_mail=&reponame=&old=3046309%40wp-private-content-plus&new=3046309%40wp-private-content-plus&sfp_email=&sfph_mail= · Nota
• https://twitter.com/VulmonFeeds/status/1762815950338793742 · Publicação no Twitter