PT-2024-15872 · WordPress · Affiliates Manager

Nathaniel Oh · Publicado 2024-02-05 · Atualizado 2024-02-13 · CVE-2024-0859

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.3

Média

Vetor base

AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N

Nome do software vulnerável e versões afetadas

Plugin Affiliates Manager para o WordPress, versões até a 2.9.34, inclusive

Descrição

O problema está relacionado a Cross-Site Request Forgery devido à falta ou incorreção na validação do nonce na função process bulk action no arquivo ListAffiliatesTable.php. Isso permite que invasores não autenticados excluam afiliados por meio de uma solicitação falsificada, caso consigam induzir um administrador do site a realizar uma ação, como clicar em um link.

Recomendações

Para versões até a 2.9.34, inclusive, atualize para uma versão posterior à 2.9.34 para resolver o problema.

Como solução temporária, considere desativar a função process bulk action no arquivo ListAffiliatesTable.php até que um patch esteja disponível.

Correção

CSRF

Enumeração de Fraquezas

CWE-352

Identificadores relacionados

CVE-2024-0859

Produtos afetados

Affiliates Manager

Referências · 7

• https://twitter.com/VulmonFeeds/status/1754674712355995996 · Publicação no Twitter
• https://plugins.trac.wordpress.org/changeset/3028484/affiliates-manager/trunk?contextall=1&old=3015278&old_path=%2Faffiliates-manager%2Ftrunk · Correção
• https://plugins.trac.wordpress.org/browser/affiliates-manager/trunk/classes/ListAffiliatesTable.php · Nota
• https://osv.dev/vulnerability/CVE-2024-0859 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2024-0859 · Nota de Segurança
• https://twitter.com/CVEnew/status/1754620534531228115 · Publicação no Twitter
• https://wordfence.com/threat-intel/vulnerabilities/id/433a03c2-09fd-4ce6-843b-55ad09f4b4f7?source=cve · Nota