PT-2024-18057 · WordPress · Generateblocks

Craig Smith + 1 · Publicado 2024-03-13 · Atualizado 2025-03-12 · CVE-2024-1452

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.3

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N

Nome do software vulnerável e versões afetadas

Plugin GenerateBlocks para o WordPress, versões até e incluindo a 1.8.2

Descrição

A vulnerabilidade permite que invasores autenticados com acesso de colaborador ou superior exponham informações confidenciais. Isso inclui a capacidade de visualizar o conteúdo de posts e páginas em rascunho ou com status privado, bem como aqueles com datas de publicação agendadas, por meio do Query Loop.

Recomendações

Para o plugin GenerateBlocks para versões do WordPress até a 1.8.2, inclusive, atualize para uma versão posterior à 1.8.2 para resolver o problema.

Como solução alternativa temporária, considere restringir o acesso ao recurso Query Loop para minimizar o risco de exploração.

Correção

Incorrect Authorization

Enumeração de Fraquezas

CWE-863

Identificadores relacionados

CVE-2024-1452

Produtos afetados

Generateblocks

Referências · 8

• https://plugins.trac.wordpress.org/browser/generateblocks/trunk/includes/class-query-loop.php#L70 · Nota
• https://twitter.com/CVEnew/status/1767938615857017032 · Publicação no Twitter
• https://plugins.trac.wordpress.org/changeset?sfp_email=&sfph_mail=&reponame=&new=3041431%40generateblocks%2Ftrunk&old=2995923%40generateblocks%2Ftrunk&sfp_email=&sfph_mail=#file2 · Correção
• https://nvd.nist.gov/vuln/detail/CVE-2024-1452 · Nota de Segurança
• https://wordfence.com/threat-intel/vulnerabilities/id/62f19301-2311-4989-a5f2-9f845b72dd54?source=cve · Nota
• https://t.me/cvenotify/114422 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2024-1452 · Aviso do Fabricante
• https://plugins.trac.wordpress.org/browser/generateblocks/trunk/includes/class-query-loop.php#L140 · Nota