PT-2024-16554 · WordPress+1 · Popularis Extra+1

Francesco Carlucci · Publicado 2024-11-15 · Atualizado 2024-11-18 · CVE-2024-10795

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.3

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N

Nome do software vulnerável e versões afetadas

Plugin Popularis Extra para o WordPress, versões até a 1.2.7, inclusive

Descrição

A vulnerabilidade permite que invasores autenticados com acesso de nível “Colaborador” ou superior extraiam dados de publicações privadas ou rascunhos criados via Elementor aos quais não deveriam ter acesso. Isso se deve a restrições insuficientes sobre quais publicações podem ser incluídas por meio do shortcode ‘elementor-template’.

Recomendações

Para versões até a 1.2.7, inclusive, considere desativar o shortcode ‘elementor-template’ até que uma correção esteja disponível para impedir a exploração. Restrinja o acesso a publicações privadas ou rascunhos criados via Elementor para minimizar o risco de exposição de dados.

Correção

IDOR

Enumeração de Fraquezas

CWE-639

Identificadores relacionados

CVE-2024-10795

Produtos afetados

Elementor

Popularis Extra

Referências · 7

• https://plugins.trac.wordpress.org/changeset?sfp_email=&sfph_mail=&reponame=&old=3185542%40popularis-extra&new=3185542%40popularis-extra&sfp_email=&sfph_mail= · Nota
• https://twitter.com/VulmonFeeds/status/1857750550416155117 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2024-10795 · Nota de Segurança
• https://twitter.com/CVEnew/status/1857613644030423399 · Publicação no Twitter
• https://t.me/cvenotify/101900 · Publicação no Telegram
• https://wordfence.com/threat-intel/vulnerabilities/id/1b5de554-1d2f-4932-9f93-1333b07edeba?source=cve · Nota
• https://t.me/cvedetector/11203 · Publicação no Telegram