PT-2024-16577 · WordPress · Posti Shipping

Dale Mavers + 1 · Publicado 2024-12-04 · Atualizado 2024-12-04 · CVE-2024-10832

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.1

Média

Vetor base

AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

Nome do software vulnerável e versões afetadas

Plugin Posti Shipping para o WordPress, versões até a 3.10.3, inclusive

Descrição

O problema se deve à falta ou à validação incorreta do nonce na função generate notices html(). Isso permite que invasores não autenticados injetem scripts maliciosos na web por meio de uma solicitação falsificada, desde que consigam induzir um administrador do site a realizar uma ação, como clicar em um link.

Recomendações

Para versões até a 3.10.3, inclusive, atualize para uma versão superior à 3.10.3 para resolver o problema.

Como solução temporária, considere restringir o acesso à função generate notices html() até que um patch esteja disponível.

Correção

XSS

CSRF

Enumeração de Fraquezas

CWE-79

CWE-352

Identificadores relacionados

CVE-2024-10832

Produtos afetados

Posti Shipping

Referências · 10

• https://plugins.trac.wordpress.org/browser/posti-shipping/tags/3.10.3/core/class-shipping-method.php#L104 · Nota
• https://wordpress.org/plugins/posti-shipping/#developers · Nota
• https://plugins.trac.wordpress.org/changeset/3206390/posti-shipping/tags/3.10.4/core/class-shipping-method.php · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2024-10832 · Nota de Segurança
• https://t.me/cvedetector/11942 · Publicação no Telegram
• https://plugins.trac.wordpress.org/browser/posti-shipping/tags/3.10.3/core/class-shipping-method.php#L87 · Nota
• https://wordfence.com/threat-intel/vulnerabilities/id/079c77f1-3aab-4457-ad66-a2a2d9a55b2e?source=cve · Nota
• https://twitter.com/VulmonFeeds/status/1864174882331738134 · Publicação no Twitter
• https://twitter.com/CVEnew/status/1864155345972564313 · Publicação no Twitter
• https://t.me/cvenotify/102975 · Publicação no Telegram