PT-2024-16537 · WordPress · Buddypress Builder For Elementor – Buddybuilder

Francesco Carlucci · CVE-2024-10778 · Publicado 2024-11-13 · Atualizado 2025-07-09

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.3

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N

Nome do software vulnerável e versões afetadas

O plugin BuddyPress Builder for Elementor – BuddyBuilder para versões do WordPress até a 1.7.4, inclusive

Descrição

A vulnerabilidade permite que invasores autenticados com acesso de nível “Colaborador” ou superior extraiam dados de publicações privadas ou rascunhos criados pelo Elementor aos quais não deveriam ter acesso. Isso se deve a restrições insuficientes sobre quais publicações podem ser incluídas por meio do shortcode ‘elementor-template’.

Recomendações

Para versões até a 1.7.4, inclusive, atualize para uma versão posterior à 1.7.4 para resolver o problema. Como solução temporária, considere restringir o acesso ao shortcode ‘elementor-template’ para minimizar o risco de exploração.

Correção

IDOR

Enumeração de Fraquezas

CWE-639

Identificadores relacionados

CVE-2024-10778

Produtos afetados

Buddypress Builder For Elementor – Buddybuilder

Referências · 8

• https://t.me/cvenotify/128232 · Publicação no Telegram
• https://wordfence.com/threat-intel/vulnerabilities/id/067dde3a-f2d6-44c6-b64e-c8a850dd4d37?source=cve · Nota
• https://osv.dev/vulnerability/CVE-2024-10778 · Aviso do Fabricante
• https://t.me/cvenotify/101472 · Publicação no Telegram
• https://plugins.trac.wordpress.org/changeset?sfp_email=&sfph_mail=&reponame=&new=3187364%40stax-buddy-builder%2Ftrunk&old=2935606%40stax-buddy-builder%2Ftrunk&sfp_email=&sfph_mail= · Nota
• https://wordpress.org/plugins/stax-buddy-builder · Nota
• https://twitter.com/CVEnew/status/1856694223451623562 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2024-10778 · Nota de Segurança