PT-2024-17974 · WordPress · Colibri Page Builder
CVSS v3.1
4.3
Média
| Vetor | AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N |
Nome do software vulnerável e versões afetadas
Plugin Colibri Page Builder para o WordPress, versões até a 1.0.253, inclusive
Descrição
O problema está relacionado a Cross-Site Request Forgery devido à falta ou à validação incorreta do nonce na função
cp shortcode refresh(). Isso permite que invasores não autenticados executem shortcodes arbitrários por meio de uma solicitação falsificada, caso consigam induzir um administrador do site a realizar uma ação, como clicar em um link.Recomendações
Para versões até a 1.0.253, inclusive, considere desativar a função
cp shortcode refresh() até que um patch esteja disponível para impedir a exploração. Restrinja o acesso a áreas onde códigos de atalho possam ser executados para minimizar o risco de execução de código arbitrário.Correção
CSRF
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Colibri Page Builder