PT-2024-17957 · WordPress · Imagerecycle

Francesco Carlucci · CVE-2024-1338 · Publicado 2024-02-20 · Atualizado 2024-12-31

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.3

Média

Vetor base

AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N

Nome do software vulnerável e versões afetadas

Plugin ImageRecycle de compactação de PDF e imagens para o WordPress, versões até a 3.1.13, inclusive

Descrição

O problema se deve à falta ou à incorreção da validação do nonce na função stopOptimizeAll, possibilitando que invasores não autenticados modifiquem as configurações de otimização de imagens por meio de uma solicitação falsificada. Isso pode ocorrer se um invasor conseguir induzir um administrador do site a realizar uma ação, como clicar em um link.

Recomendações

Para versões até a 3.1.13, inclusive, atualize para uma versão que inclua a correção para a validação de nonce ausente ou incorreta na função stopOptimizeAll.

Como solução temporária, considere desativar a função stopOptimizeAll até que um patch esteja disponível.

Correção

CSRF

Enumeração de Fraquezas

CWE-352

Identificadores relacionados

CVE-2024-1338

Produtos afetados

Imagerecycle

Referências · 6

• https://twitter.com/CVEnew/status/1760025909594374423 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2024-1338 · Nota de Segurança
• https://t.me/cvenotify/105857 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2024-1338 · Aviso do Fabricante
• https://plugins.trac.wordpress.org/changeset/3031424/imagerecycle-pdf-image-compression · Nota
• https://wordfence.com/threat-intel/vulnerabilities/id/5e3dd131-dbd8-431c-96f4-4ab2c3be4dbd?source=cve · Nota