PT-2024-16536 · WordPress · Anywhere Elementor

Francesco Carlucci · CVE-2024-10777 · Publicado 2024-12-05 · Atualizado 2024-12-05

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.3

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N

Nome do software vulnerável e versões afetadas

Plugin AnyWhere Elementor para o WordPress, versões até e incluindo a 1.2.11

Descrição

A vulnerabilidade permite que invasores autenticados com acesso de nível “Colaborador” ou superior extraiam dados de publicações privadas ou rascunhos criados pelo Elementor aos quais não deveriam ter acesso. Isso se deve a restrições insuficientes sobre quais publicações podem ser incluídas por meio do shortcode ‘INSERT ELEMENTOR’.

Recomendações

Para versões até a 1.2.11, inclusive, atualize para uma versão superior à 1.2.11 para resolver o problema.

Como solução temporária, considere restringir o acesso ao shortcode ‘INSERT ELEMENTOR’ para impedir a exploração.

Correção

IDOR

Enumeração de Fraquezas

CWE-639

Identificadores relacionados

CVE-2024-10777

Produtos afetados

Anywhere Elementor

Referências · 7

• https://t.me/cvedetector/12075 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2024-10777 · Nota de Segurança
• https://t.me/cvenotify/103085 · Publicação no Telegram
• https://wordfence.com/threat-intel/vulnerabilities/id/c2138634-c149-4fd1-a33d-351bbf633ea3?source=cve · Nota
• https://plugins.trac.wordpress.org/changeset?sfp_email=&sfph_mail=&reponame=&old=3198665%40anywhere-elementor&new=3198665%40anywhere-elementor&sfp_email=&sfph_mail= · Nota
• https://twitter.com/VulmonFeeds/status/1864696367530070387 · Publicação no Twitter
• https://twitter.com/CVEnew/status/1864604226913226827 · Publicação no Twitter