PT-2024-16143 · WordPress · Drop Shadow Boxes

Arkadiusz Hydzik · CVE-2024-10262 · Publicado 2024-11-15 · Atualizado 2024-11-18

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.3

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:L

Nome do software vulnerável e versões afetadas

Plugin Drop Shadow Boxes para versões do WordPress até a 1.7.14, inclusive

Descrição

O problema está relacionado à execução arbitrária de shortcodes, pois o software permite que os usuários executem uma ação que não valida corretamente um valor antes de executar do shortcode(). Isso possibilita que invasores autenticados, com acesso de nível de Assinante ou superior, executem shortcodes arbitrários.

Recomendações

Para versões até a 1.7.14, inclusive, atualize para uma versão posterior à 1.7.14 para resolver o problema. Como solução temporária, considere restringir o acesso à função do shortcode() ou limitar a execução de shortcodes a usuários confiáveis até que um patch esteja disponível.

Correção

Code Injection

Enumeração de Fraquezas

CWE-94

Identificadores relacionados

CVE-2024-10262

Produtos afetados

Drop Shadow Boxes

Referências · 9

• https://twitter.com/CVEnew/status/1857662799750770728 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2024-10262 · Nota de Segurança
• https://plugins.trac.wordpress.org/browser/drop-shadow-boxes/trunk/dropshadowboxes.php#L150 · Nota
• https://plugins.trac.wordpress.org/changeset/3199280 · Nota
• https://twitter.com/VulmonFeeds/status/1857722391066988613 · Publicação no Twitter
• https://t.me/cvedetector/11223 · Publicação no Telegram
• https://t.me/cvenotify/101905 · Publicação no Telegram
• https://wordpress.org/plugins/drop-shadow-boxes/#developers · Nota
• https://wordfence.com/threat-intel/vulnerabilities/id/fa0a296a-a93f-4c0e-9911-b4f9bdd53fad?source=cve · Nota