PT-2024-16887 · WordPress · Wp Private Content Plus

Francesco Carlucci · Publicado 2024-12-06 · Atualizado 2024-12-06 · CVE-2024-11292

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.3

Média

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N

Nome do software vulnerável e versões afetadas

Plugin WP Private Content Plus para versões do WordPress até a 3.6.1, inclusive

Descrição

A vulnerabilidade permite que invasores não autenticados extraiam dados confidenciais de publicações restritas por meio do recurso de pesquisa do núcleo do WordPress. Isso possibilita que invasores acessem informações que deveriam ser restritas a funções de nível superior, como administradores.

Recomendações

Para o plugin WP Private Content Plus para versões do WordPress até a 3.6.1, inclusive, atualize para uma versão posterior à 3.6.1 para resolver o problema.

No momento, não há informações sobre outras medidas de mitigação para esta vulnerabilidade.

Correção

Information Disclosure

Enumeração de Fraquezas

CWE-200

Identificadores relacionados

CVE-2024-11292

Produtos afetados

Wp Private Content Plus

Referências · 6

• https://twitter.com/VulmonFeeds/status/1865106134438117665 · Publicação no Twitter
• https://wordpress.org/plugins/wp-private-content-plus · Nota
• https://plugins.trac.wordpress.org/changeset?sfp_email=&sfph_mail=&reponame=&old=3207882%40wp-private-content-plus&new=3207882%40wp-private-content-plus&sfp_email=&sfph_mail= · Nota
• https://twitter.com/CVEnew/status/1864954295960916047 · Publicação no Twitter
• https://wordfence.com/threat-intel/vulnerabilities/id/30c46b91-e371-480f-943a-3906d8b6bbba?source=cve · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2024-11292 · Nota de Segurança