PT-2024-16660 · WordPress · Authors List

Arkadiusz Hydzik · Publicado 2024-12-04 · Atualizado 2024-12-09 · CVE-2024-10952

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.3

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L

Nome do software vulnerável e versões afetadas

O plugin Authors List para versões do WordPress até a 2.0.4, inclusive

Descrição

A vulnerabilidade permite que invasores não autenticados executem códigos de atalho arbitrários, pois o software permite que os usuários executem uma ação que não valida adequadamente um valor antes de executar do shortcode. Isso é possível por meio da ação AJAX update authors list ajax.

Recomendações

Para versões até a 2.0.4, inclusive, considere desativar a ação AJAX update authors list ajax até que um patch esteja disponível.

Restrinja o acesso à função do shortcode para minimizar o risco de exploração.

Evite usar a ação update authors list ajax no endpoint da API afetado até que a vulnerabilidade seja resolvida.

Correção

Code Injection

Enumeração de Fraquezas

CWE-94

Identificadores relacionados

CVE-2024-10952

Produtos afetados

Authors List

Referências · 11

• https://plugins.trac.wordpress.org/changeset/3205955/authors-list/trunk/backend/includes/class-authors-list-item.php · Nota
• https://plugins.trac.wordpress.org/browser/authors-list/tags/2.0.4/backend/includes/class-authors-list-item.php#L843 · Nota
• https://twitter.com/cracbot/status/1865999896542855418 · Publicação no Twitter
• https://t.me/cvenotify/102976 · Publicação no Telegram
• https://wpkube.com · Nota
• https://wordfence.com/threat-intel/vulnerabilities/id/8b3cfe0a-dcfb-40f3-ba43-4e838c113010?source=cve · Nota
• https://t.me/cvedetector/11943 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2024-10952 · Nota de Segurança
• https://twitter.com/VulmonFeeds/status/1864164642949325201 · Publicação no Twitter
• https://twitter.com/CVEnew/status/1864155343950897540 · Publicação no Twitter
• https://wordpress.org/plugins/authors-list/#developers · Nota