PT-2024-16401 · WordPress · Wp Travel Engine

Noah Stead + 1 · Publicado 2024-11-22 · Atualizado 2025-02-11 · CVE-2024-10606

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.3

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N

Nome do software vulnerável e versões afetadas

O plugin WP Travel Engine – Tour Booking Plugin – Tour Operator Software para versões do WordPress anteriores à 6.2.2

Descrição

O problema está relacionado à falta de uma verificação de permissão na função wpte onboard save function callback(), permitindo que invasores autenticados com acesso de nível de colaborador ou superior modifiquem várias configurações. Isso pode causar impactos como perda de receita e atualizações de página.

Recomendações

Para versões até e incluindo a 6.2.1, atualize para a versão 6.2.2 ou posterior para resolver o problema.

Como solução temporária, considere restringir o acesso à função wpte onboard save function callback() até que um patch esteja disponível.

Correção

Missing Authorization

Enumeração de Fraquezas

CWE-862

Identificadores relacionados

CVE-2024-10606

Produtos afetados

Wp Travel Engine

Referências · 7

• https://wordfence.com/threat-intel/vulnerabilities/id/c91d1ec0-0430-4ddd-b6b1-25af0b5cea9d?source=cve · Nota
• https://osv.dev/vulnerability/CVE-2024-10606 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2024-10606 · Nota de Segurança
• https://plugins.trac.wordpress.org/changeset/3193913/wp-travel-engine/tags/6.2.2/includes/class-wp-travel-engine-onboard.php · Correção
• https://t.me/cvenotify/102418 · Publicação no Telegram
• https://t.me/cvenotify/110883 · Publicação no Telegram
• https://twitter.com/CVEnew/status/1860199490826777085 · Publicação no Twitter