PT-2024-20521 · WordPress · Wps Hide Login

Nicholas Mun + 3 · Publicado 2024-06-10 · Atualizado 2025-05-15 · CVE-2024-2473

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.3

Média

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N

Nome do software vulnerável e versões afetadas

Plugin WPS Hide Login para versões do WordPress até a 1.9.15.2, inclusive

Descrição

O problema está relacionado a uma falha de segurança que permite que invasores descubram páginas de login ocultas quando o parâmetro action é definido como postpass. Isso possibilita que invasores encontrem facilmente qualquer página de login que possa ter sido ocultada pelo plugin.

Recomendações

Para versões até e incluindo a 1.9.15.2, considere desativar o plugin até que uma correção esteja disponível para evitar a exploração. Como solução temporária, evite usar o parâmetro action=postpass nos pontos de extremidade da API afetados para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Incorrect Authorization

Enumeração de Fraquezas

CWE-863

Identificadores relacionados

CVE-2024-2473

Produtos afetados

Wps Hide Login

Referências · 9

• https://github.com/whattheslime/wps-show-login · Nota
• https://twitter.com/NRockhouse/status/1826193297792270424 · Publicação no Twitter
• https://t.me/cvenotify/87385 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2024-2473 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2024-2473 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/1800360272986796405 · Publicação no Twitter
• https://plugins.trac.wordpress.org/changeset/3099109/wps-hide-login · Correção
• https://twitter.com/pdnuclei_bot/status/1922924931475702227 · Publicação no Twitter
• https://wordfence.com/threat-intel/vulnerabilities/id/fd21c7d3-a5f1-4c3a-b6ab-0a979f070a62?source=cve · Nota