PT-2024-23854 · WordPress · Wordpress

Peterwilsoncc · Publicado 2024-04-04 · Atualizado 2026-02-12 · CVE-2024-31211

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões 6.4.0 a 6.4.1 do WordPress

Descrição

A vulnerabilidade permite a execução de código por meio do método mágico destruct() da classe WP HTML Token ao des-serializar suas instâncias. Esta vulnerabilidade foi corrigida no WordPress 6.4.2 em 6 de dezembro de 2023.

Recomendações

Para as versões 6.4.0 a 6.4.1, atualize para o WordPress 6.4.2 ou posterior para resolver o problema. Como solução temporária, considere desativar a deserialização das instâncias da classe WP HTML Token até que um patch esteja disponível.

Exploit

Correção

RCE

Deserialization of Untrusted Data

Enumeração de Fraquezas

CWE-502

Identificadores relacionados

BIT-WORDPRESS-2024-31211

BIT-WORDPRESS-MULTISITE-2024-31211

CVE-2024-31211

GHSA-M257-Q4M5-J653

Produtos afetados

Wordpress

Referências · 19

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2024/31xxx/CVE-2024-31211.json · Exploit
• https://github.com/WordPress/wordpress-develop/security/advisories/GHSA-m257-q4m5-j653 · Aviso do Fabricante
• https://cve.org/CVERecord?id=CVE-2024-31211 · Nota de Segurança
• https://osv.dev/vulnerability/UBUNTU-CVE-2024-31211 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2024-31211 · Nota de Segurança
• https://t.me/cvenotify/75792 · Publicação no Telegram
• https://osv.dev/vulnerability/DEBIAN-CVE-2024-31211 · Aviso do Fabricante
• https://wordpress.org/documentation/wordpress-version/version-6-4-2/#installation-update-information · Nota
• https://wordfence.com/blog/2023/12/psa-critical-pop-chain-allowing-remote-code-execution-patched-in-wordpress-6-4-2 · Nota
• https://ubuntu.com/security/CVE-2024-31211 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/1776025998451957945 · Publicação no Twitter
• https://twitter.com/grok/status/2022062570832630034 · Publicação no Twitter
• https://t.me/cveNotify/147610 · Publicação no Telegram
• https://twitter.com/VulmonFeeds/status/1776046408375632278 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2024-31211 · Aviso do Fabricante