PT-2024-16378 · WordPress · The Hustle – Email Marketing

Vijaysimha + 1 · Publicado 2024-11-26 · Atualizado 2024-11-26 · CVE-2024-10579

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.3

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N

Nome do software vulnerável e versões afetadas

O plugin The Hustle – Email Marketing, Lead Generation, Optins, Popups para o WordPress, versões até a 7.8.5, inclusive

Descrição

O problema está relacionado ao acesso não autorizado a dados devido à falta de uma verificação de permissão na função preview module(). Isso permite que invasores autenticados com acesso de nível de Assinante ou superior visualizem formulários não publicados.

Recomendações

Para versões até a 7.8.5, inclusive, atualize para uma versão que inclua uma correção para a falta de verificação de permissão na função preview module().

Como solução temporária, considere restringir o acesso à função preview module() para impedir a visualização não autorizada de formulários não publicados.

Correção

Missing Authorization

Enumeração de Fraquezas

CWE-862

Identificadores relacionados

CVE-2024-10579

Produtos afetados

The Hustle – Email Marketing

Referências · 5

• https://plugins.trac.wordpress.org/browser/wordpress-popup/tags/7.8.5/inc/hustle-modules-common-admin-ajax.php#L189 · Nota
• https://wordfence.com/threat-intel/vulnerabilities/id/ebd96d9c-c1ab-4a53-a52a-9fc2541482f2?source=cve · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2024-10579 · Nota de Segurança
• https://plugins.trac.wordpress.org/browser/wordpress-popup/trunk/inc/hustle-modules-common-admin-ajax.php#L189 · Nota
• https://twitter.com/CVEnew/status/1861371122542837832 · Publicação no Twitter