PT-2024-17397 · WordPress · Wp System
CVSS v3.1
6.1
Média
| Vetor | AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N |
Nome do software vulnerável e versões afetadas
Plugin WP System para versões do WordPress até a 1.1.1, inclusive
Descrição
O problema está relacionado a Cross-Site Request Forgery devido à falta ou à validação incorreta do nonce na função
generate wp system page content(). Isso permite que invasores não autenticados injetem scripts maliciosos na web por meio de uma solicitação falsificada, caso consigam induzir um administrador do site a realizar uma ação específica, como clicar em um link.Recomendações
Para versões até a 1.1.1, inclusive, considere desativar a função
generate wp system page content() como uma solução temporária até que um patch esteja disponível. Restrinja o acesso às áreas do plugin que utilizam essa função para minimizar o risco de exploração. Evite usar o plugin até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.CSRF
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Wp System