PT-2024-18631 · WordPress · Wp-Db-Table-Editor

Francesco Carlucci · Publicado 2024-06-03 · Atualizado 2024-06-07 · CVE-2024-2019

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Plugin WP-DB-Table-Editor para versões do WordPress até a 1.8.4, inclusive

Descrição

A vulnerabilidade permite acesso não autorizado a dados, modificação de dados e perda de dados devido à ausência de um requisito de permissão padrão na função dbte render. Isso possibilita que invasores autenticados, com acesso de colaborador ou superior, modifiquem tabelas de banco de dados que o tema foi configurado para usar o plugin para editar.

Recomendações

Para o plugin WP-DB-Table-Editor para versões do WordPress até a 1.8.4, inclusive, atualize para uma versão que inclua um requisito de permissão padrão na função dbte render para impedir o acesso não autorizado e a modificação de dados.

No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Improper Access Control

Enumeração de Fraquezas

CWE-284

Identificadores relacionados

CVE-2024-2019

Produtos afetados

Wp-Db-Table-Editor

Referências · 7

• https://plugins.trac.wordpress.org/browser/wp-db-table-editor/trunk/db-table-editor.php · Nota
• https://twitter.com/CVEnew/status/1797868694950854816 · Publicação no Twitter
• https://wordfence.com/threat-intel/vulnerabilities/id/2d044e0a-a956-4319-985d-6a9a276daf49?source=cve · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2024-2019 · Nota de Segurança
• https://twitter.com/cracbot/status/1799320533244477484 · Publicação no Twitter
• https://t.me/cvenotify/81822 · Publicação no Telegram
• https://twitter.com/cracbot/status/1798958154266661107 · Publicação no Twitter