PT-2024-16489 · WordPress · Friendly Functions For Welcart

Dale Mavers + 1 · Publicado 2024-11-20 · Atualizado 2024-11-21 · CVE-2024-10726

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.1

Média

Vetor base

AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

Nome do software vulnerável e versões afetadas

O plugin Friendly Functions for Welcart para o WordPress, nas versões até a 1.2.4, inclusive

Descrição

O problema está relacionado a Cross-Site Request Forgery devido à falta ou incorreção na validação do nonce na funcionalidade de atualização de configurações. Isso permite que invasores não autenticados injetem scripts maliciosos na web por meio de uma solicitação falsificada, caso consigam induzir um administrador do site a realizar uma ação, como clicar em um link.

Recomendações

Para versões até a 1.2.4, inclusive, atualize para uma versão que inclua a correção para o problema de validação de nonce na funcionalidade de atualização de configurações, a fim de prevenir ataques de Cross-Site Request Forgery. Como solução temporária, considere restringir o acesso à funcionalidade de atualização de configurações para minimizar o risco de exploração.

Correção

CSRF

Enumeração de Fraquezas

CWE-352

Identificadores relacionados

CVE-2024-10726

Produtos afetados

Friendly Functions For Welcart

Referências · 6

• https://plugins.trac.wordpress.org/changeset/3194674/friendly-functions-for-welcart/trunk/ffw_function_settings.php · Nota
• https://plugins.trac.wordpress.org/browser/friendly-functions-for-welcart/tags/1.2.4/ffw_function_settings.php#L57 · Nota
• https://twitter.com/CVEnew/status/1859451902724882673 · Publicação no Twitter
• https://wordpress.org/plugins/friendly-functions-for-welcart/#developers · Nota
• https://wordfence.com/threat-intel/vulnerabilities/id/305f2f13-178d-4b49-b59b-abb35d111299?source=cve · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2024-10726 · Nota de Segurança