PT-2024-19603 · WordPress · Advanced Ads

Son Tran · Publicado 2024-05-09 · Atualizado 2024-05-18 · CVE-2024-2290

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.2

Alta

Vetor base

AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Plugin Advanced Ads para o WordPress, versões até a 1.52.1, inclusive

Descrição

O plugin Advanced Ads para WordPress está vulnerável à injeção de objeto PHP por meio da desserialização de entradas não confiáveis no parâmetro placement slug. Isso permite que invasores autenticados injetem um objeto PHP. Se houver uma cadeia POP por meio de um plugin ou tema adicional instalado no sistema alvo, isso poderia permitir que o invasor exclua arquivos arbitrários, recupere dados confidenciais ou execute código.

Recomendações

Para versões até e incluindo a 1.52.1, considere desativar a deserialização de entradas não confiáveis no parâmetro placement slug como uma solução temporária até que um patch esteja disponível. Restrinja o acesso a dados e arquivos confidenciais para minimizar o risco de exploração. Evite usar o parâmetro placement slug em entradas não confiáveis até que o problema seja resolvido.

Correção

Deserialization of Untrusted Data

Enumeração de Fraquezas

CWE-502

Identificadores relacionados

CVE-2024-2290

Produtos afetados

Advanced Ads

Referências · 6

• https://wordfence.com/threat-intel/vulnerabilities/id/f64336f7-ab2a-4e22-a76f-d077c51f9c57?source=cve · Nota
• https://twitter.com/cracbot/status/1791710398594551975 · Publicação no Twitter
• https://plugins.trac.wordpress.org/browser/advanced-ads/trunk/modules/import-export/classes/import.php#L155 · Nota
• https://plugins.trac.wordpress.org/changeset?sfp_email=&sfph_mail=&reponame=&old=3081914%40advanced-ads&new=3081914%40advanced-ads&sfp_email=&sfph_mail= · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2024-2290 · Nota de Segurança
• https://twitter.com/cracbot/status/1792072784006500633 · Publicação no Twitter