PT-2024-18190 · WordPress · Mainwp Dashboard

Krzysztof Zając · Publicado 2024-03-13 · Atualizado 2024-03-13 · CVE-2024-1642

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.3

Média

Vetor base

AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:L

Nome do software vulnerável e versões afetadas

MainWP Dashboard – plugin de gerenciamento e manutenção de vários sites para o WordPress, para versões até a 4.6.0.1, inclusive

Descrição

O problema está relacionado a Cross-Site Request Forgery devido à falta ou incorreção na validação do nonce na função posting bulk. Isso permite que invasores não autenticados excluam publicações arbitrárias por meio de uma solicitação falsificada, caso consigam induzir um administrador do site a realizar uma ação, como clicar em um link.

Recomendações

Para versões até e incluindo a 4.6.0.1, atualize para uma versão que inclua a correção para o problema de validação de nonce na função posting bulk.

Como solução temporária, considere restringir o acesso à função posting bulk até que um patch esteja disponível.

Correção

CSRF

Enumeração de Fraquezas

CWE-352

Identificadores relacionados

CVE-2024-1642

Produtos afetados

Mainwp Dashboard

Referências · 6

• https://plugins.trac.wordpress.org/browser/mainwp/tags/4.6.0.1/pages/page-mainwp-post-page-handler.php · Nota
• https://twitter.com/CVEnew/status/1767941856455807471 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2024-1642 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2024-1642 · Nota de Segurança
• https://plugins.trac.wordpress.org/changeset/3042125/mainwp/trunk/pages/page-mainwp-post-page-handler.php?old=3017011&old_path=mainwp/trunk/pages/page-mainwp-post-page-handler.php · Correção
• https://wordfence.com/threat-intel/vulnerabilities/id/2c2d9569-a551-46f5-8581-464b9f35b71c?source=cve · Nota