PT-2024-16928 · WordPress · Sms For Lead Capture Forms

Kévin Mosbahi + 1 · Publicado 2024-12-07 · Atualizado 2024-12-07 · CVE-2024-11353

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.3

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N

Nome do software vulnerável e versões afetadas

Plugin SMS for Lead Capture Forms para o WordPress, versões até e incluindo a 1.1.0

Descrição

O problema é causado pela ausência de uma verificação de permissão na função delete message(), permitindo que invasores autenticados com acesso de nível de Assinante ou superior excluam mensagens arbitrárias. Isso resulta na modificação não autorizada de dados.

Recomendações

Para versões até a 1.1.0, inclusive, atualize para uma versão que inclua uma correção para a falta de verificação de permissão na função delete message().

Como solução temporária, considere restringir o acesso à função delete message() para impedir a modificação não autorizada de dados.

Restrinja o acesso de nível de Assinante e superior para minimizar o risco de exploração.

Correção

Missing Authorization

Enumeração de Fraquezas

CWE-862

Identificadores relacionados

CVE-2024-11353

Produtos afetados

Sms For Lead Capture Forms

Referências · 8

• https://t.me/cvenotify/103439 · Publicação no Telegram
• https://t.me/cvedetector/12312 · Publicação no Telegram
• https://plugins.trac.wordpress.org/browser/clicksend-lead-capture-form/trunk/clicksend-SMS-form-settings.php#L63 · Nota
• https://plugins.trac.wordpress.org/browser/clicksend-lead-capture-form/trunk/clicksend-SMS-form-settings.php#L54 · Nota
• https://twitter.com/VulmonFeeds/status/1865275199576268912 · Publicação no Twitter
• https://wordfence.com/threat-intel/vulnerabilities/id/a0c68bb6-77a2-4232-923a-37f2c0327743?source=cve · Nota
• https://twitter.com/CVEnew/status/1865225026858844418 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2024-11353 · Nota de Segurança