PT-2024-18328 · WordPress · Everest Forms

Hir0Ot + 1 · Publicado 2024-04-09 · Atualizado 2025-05-06 · CVE-2024-1812

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.2

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:C/C:L/I:L/A:N

Nome do software vulnerável e versões afetadas

Plugin Everest Forms para WordPress, versões até a 2.0.7, inclusive

Descrição

A vulnerabilidade permite que invasores não autenticados realizem solicitações web para locais arbitrários a partir da aplicação web. Isso pode ser usado para consultar e modificar informações de serviços internos por meio do parâmetro font url.

Recomendações

Para versões até a 2.0.7, inclusive, considere restringir o acesso ao parâmetro font url para minimizar o risco de exploração. Como solução temporária, evite usar o parâmetro font url no plugin afetado até que um patch esteja disponível. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

SSRF

Enumeração de Fraquezas

CWE-918

Identificadores relacionados

CVE-2024-1812

Produtos afetados

Everest Forms

Referências · 7

• https://wordfence.com/threat-intel/vulnerabilities/id/d4561441-d147-4c02-a837-c1656e17627d?source=cve · Nota
• https://twitter.com/CVEnew/status/1777891049782104082 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2024-1812 · Aviso do Fabricante
• https://t.me/cvenotify/121013 · Publicação no Telegram
• https://plugins.trac.wordpress.org/changeset/3049743/everest-forms · Correção
• https://nvd.nist.gov/vuln/detail/CVE-2024-1812 · Nota de Segurança
• https://twitter.com/VulmonFeeds/status/1777797592333668588 · Publicação no Twitter