PT-2024-17600 · WordPress · Slicewp Affiliates
Dale Mavers
+1
·
Publicado
2024-12-18
·
Atualizado
2024-12-18
·
CVE-2024-12454
CVSS v3.1
6.1
Média
| Vetor | AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N |
Nome do software vulnerável e versões afetadas
Affiliate Program Suite — plugin SliceWP Affiliates para versões do WordPress até a 1.1.23, inclusive
Descrição
O problema se deve à falta ou à incorreção da validação do nonce em uma função, possibilitando que invasores não autenticados injetem scripts maliciosos na web por meio de uma solicitação falsificada. Isso pode ocorrer se os invasores conseguirem induzir um administrador do site a realizar uma ação, como clicar em um link.
Recomendações
Para versões até a 1.1.23, inclusive, atualize para uma versão superior à 1.1.23 para resolver o problema. Como solução temporária, considere restringir o acesso à função vulnerável para minimizar o risco de exploração.
Correção
CSRF
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Slicewp Affiliates