PT-2024-17640 · WordPress · Arena.Im
CVSS v3.1
4.3
Média
| Vetor | AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N |
Nome do software vulnerável e versões afetadas
Arena.IM – Plugin de blog ao vivo para eventos em tempo real para versões do WordPress até a 0.3.0, inclusive
Descrição
O problema se deve à falta ou à validação incorreta do nonce na ação AJAX
albfre user action. Isso permite que invasores não autenticados atualizem as configurações do plugin por meio de uma solicitação falsificada, desde que consigam induzir um administrador do site a realizar uma ação, como clicar em um link.Recomendações
Para versões até a 0.3.0, inclusive, atualize para uma versão posterior à 0.3.0 para resolver o problema.
Como solução temporária, considere restringir o acesso à ação AJAX
albfre user action até que um patch esteja disponível.Correção
CSRF
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Arena.Im