PT-2024-16390 · WordPress · Wpforms
CVSS v3.1
4.3
Média
| Vetor | AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N |
Nome do software vulnerável e versões afetadas
WPForms – Easy Form Builder for WordPress – plugin de formulários de contato, formulários de pagamento, pesquisas e muito mais para versões do WordPress até a 1.9.1.6, inclusive
Descrição
O problema está relacionado a Cross-Site Request Forgery devido à falta ou incorreção na validação do nonce na função
process admin ui. Isso permite que invasores não autenticados excluam registros do WPForms por meio de uma solicitação falsificada, caso consigam induzir um administrador do site a realizar uma ação, como clicar em um link.Recomendações
Para versões até e incluindo a 1.9.1.6, atualize para uma versão que inclua a correção para o problema de validação de nonce na função
process admin ui. Como solução temporária, considere restringir o acesso à função process admin ui para minimizar o risco de exploração.Correção
CSRF
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Wpforms