PT-2024-22941 · WordPress · Svs Pricing Tables

Aillesim + 1 · CVE-2024-2960 · Publicado 2024-05-02 · Atualizado 2025-02-20

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.3

Média

Vetor base

AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N

Nome do software vulnerável e versões afetadas

Plugin SVS Pricing Tables para versões do WordPress até a 1.0.4, inclusive

Descrição

O problema se deve à falta ou à incorreção da validação do nonce na função deletePricingTable(), possibilitando que invasores não autenticados excluam tabelas de preços por meio de uma solicitação falsificada. Isso pode ocorrer se um invasor conseguir induzir um administrador do site a realizar uma ação, como clicar em um link.

Recomendações

Para versões até a 1.0.4, inclusive, considere desativar a função deletePricingTable() até que um patch esteja disponível para impedir a exploração. Restrinja o acesso às funcionalidades do plugin para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

CSRF

Enumeração de Fraquezas

CWE-352

Identificadores relacionados

CVE-2024-2960

Produtos afetados

Svs Pricing Tables

Referências · 7

• https://osv.dev/vulnerability/CVE-2024-2960 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/1786082027965493746 · Publicação no Twitter
• https://wordfence.com/threat-intel/vulnerabilities/id/e7a24213-5191-4b6d-a2d1-7b79729e6517?source=cve · Nota
• https://plugins.trac.wordpress.org/browser/svs-pricing-tables/trunk/app/model/svs_pt_model_main.php#L91 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2024-2960 · Nota de Segurança
• https://t.me/cvenotify/111936 · Publicação no Telegram
• https://twitter.com/VulmonFeeds/status/1786116873274151372 · Publicação no Twitter