PT-2024-15805 · Envo · Elementor Templates & Widgets For Woocommerce
Marco Wotschka
·
Publicado
2024-02-28
·
Atualizado
2025-01-08
·
CVE-2024-0768
CVSS v3.1
4.3
Média
| Vetor | AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N |
Nome do software vulnerável e versões afetadas
O plugin “Envo's Elementor Templates & Widgets for WooCommerce” para o WordPress, nas versões até e incluindo a 1.4.4
Descrição
O problema se deve à falta ou incorreção da validação de nonce na função
ajax theme activation, possibilitando que invasores não autenticados ativem temas instalados arbitrariamente por meio de uma solicitação falsificada. Isso pode ocorrer se um invasor conseguir induzir um administrador do site a realizar uma ação, como clicar em um link.Recomendações
Para versões até e incluindo a 1.4.4, atualize para uma versão que inclua a correção para a validação de nonce ausente ou incorreta na função
ajax theme activation.Como solução temporária, considere desativar a função
ajax theme activation até que um patch esteja disponível.Correção
CSRF
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Elementor Templates & Widgets For Woocommerce