PT-2024-18298 · WordPress · Contact Form 7
Zulu Capwn
·
Publicado
2024-02-23
·
Atualizado
2025-01-16
·
CVE-2024-1777
CVSS v3.1
4.3
Média
| Vetor | AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N |
Nome do software vulnerável e versões afetadas
Plugin Contact Form 7 para o WordPress, versões até a 1.1.1, inclusive
Descrição
O armazenamento de dados do painel de administração do plugin Contact Form 7 está vulnerável a Cross-Site Request Forgery devido à falta ou incorreção na validação do nonce na função de atualização de configurações. Isso permite que invasores não autenticados atualizem as configurações do plugin por meio de uma solicitação falsificada, caso consigam induzir um administrador do site a realizar uma ação, como clicar em um link.
Recomendações
Para versões até a 1.1.1, inclusive, atualize para uma versão que inclua a correção para a falta ou incorreção na validação do nonce na função de atualização de configurações.
Como solução temporária, considere restringir o acesso à função de atualização de configurações até que um patch esteja disponível.
Correção
CSRF
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Contact Form 7