PT-2024-16361 · WordPress · Wp Project Manager

Noah Stead + 1 · Publicado 2024-12-19 · Atualizado 2025-02-05 · CVE-2024-10548

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.5

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N

Nome do software vulnerável e versões afetadas

Plugin WP Project Manager para versões do WordPress anteriores à 2.6.16

Descrição

A vulnerabilidade permite que invasores autenticados com acesso de nível de Assinante ou superior extraiam dados confidenciais, incluindo senhas com hash dos proprietários de projetos, por meio do endpoint da API REST “/wp-json/pm/v2/projects/1/task-lists”. Isso possibilita que invasores acessem informações confidenciais.

Recomendações

Para o plugin WP Project Manager para versões do WordPress anteriores à 2.6.16, atualize para a versão mais recente para proteger seu site.

Como solução temporária, considere restringir o acesso ao endpoint da API “/wp-json/pm/v2/projects/1/task-lists” para minimizar o risco de exploração.

Correção

Information Disclosure

Enumeração de Fraquezas

CWE-200

Identificadores relacionados

CVE-2024-10548

Produtos afetados

Wp Project Manager

Referências · 10

• https://t.me/cvedetector/13301 · Publicação no Telegram
• https://twitter.com/transilienceai/status/1869612570757173697 · Publicação no Twitter
• https://t.me/cvenotify/110125 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2024-10548 · Nota de Segurança
• https://twitter.com/CVEnew/status/1869573119251222956 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2024-10548 · Aviso do Fabricante
• https://wordfence.com/threat-intel/vulnerabilities/id/a21b7c40-2090-4262-9105-346db2325612?source=cve · Nota
• https://plugins.trac.wordpress.org/changeset/3206717/wedevs-project-manager/tags/2.6.16/src/Task_List/Controllers/Task_List_Controller.php · Correção
• https://twitter.com/VulmonFeeds/status/1869588581271962029 · Publicação no Twitter
• https://twitter.com/transilienceai/status/1869612563073228826 · Publicação no Twitter