PT-2024-18282 · WordPress · The Appointment Booking Calendar — Simply Schedule Appointments Booking Plugin
Krzysztof Zając
·
Publicado
2024-03-05
·
Atualizado
2024-03-06
·
CVE-2024-1760
CVSS v3.1
4.7
Média
| Vetor | AV:N/AC:L/PR:N/UI:R/S:C/C:N/I:L/A:N |
Nome do software vulnerável e versões afetadas
O plugin “The Appointment Booking Calendar — Simply Schedule Appointments Booking Plugin” para o WordPress, nas versões até a 1.6.6.20, inclusive
Descrição
O problema está relacionado a uma vulnerabilidade de falsificação de solicitação entre sites (Cross-Site Request Forgery), devido à falta ou à validação incorreta do nonce na função
ssa factory reset(). Isso permite que invasores não autenticados redefinam as configurações do plugin por meio de uma solicitação falsificada, caso consigam induzir um administrador do site a realizar uma ação, como clicar em um link.Recomendações
Para versões até e incluindo a 1.6.6.20, considere desativar a função
ssa factory reset() até que um patch esteja disponível para impedir a exploração. Restrinja o acesso às configurações do plugin para minimizar o risco de redefinições não autorizadas. Evite realizar ações que possam ser acionadas por solicitações falsificadas, como clicar em links suspeitos, para reduzir o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.CSRF
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
The Appointment Booking Calendar — Simply Schedule Appointments Booking Plugin