PT-2024-24446 · WordPress · Paid Memberships Pro

Whit Taylor · Publicado 2024-05-02 · Atualizado 2025-01-17 · CVE-2024-3215

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.3

Média

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N

Nome do software vulnerável e versões afetadas

Plugin Paid Memberships Pro – Restrição de conteúdo, registro de usuários e assinaturas pagas para versões do WordPress até a 3.0.1, inclusive

Descrição

O problema está relacionado a Cross-Site Request Forgery devido à falta ou à validação incorreta do nonce na função pmpro update level group order(). Isso permite que invasores não autenticados atualizem os níveis de pedido por meio de uma solicitação falsificada, caso consigam induzir um administrador do site a realizar uma ação, como clicar em um link.

Recomendações

Para versões até a 3.0.1, inclusive, atualize para uma versão superior à 3.0.1 para resolver o problema. Como solução temporária, considere desativar a função pmpro update level group order() até que um patch esteja disponível. Restrinja o acesso às áreas do site onde essa função é usada para minimizar o risco de exploração.

Correção

CSRF

Enumeração de Fraquezas

CWE-352

Identificadores relacionados

CVE-2024-3215

Produtos afetados

Paid Memberships Pro

Referências · 7

• https://t.me/cvenotify/107756 · Publicação no Telegram
• https://twitter.com/VulmonFeeds/status/1786117888912269798 · Publicação no Twitter
• https://plugins.trac.wordpress.org/changeset/3069136/paid-memberships-pro/trunk/includes/services.php · Correção
• https://wordfence.com/threat-intel/vulnerabilities/id/a9ef7742-e6f8-4350-90e9-242d9d1b12a0?source=cve · Nota
• https://twitter.com/CVEnew/status/1786082070357324273 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2024-3215 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2024-3215 · Nota de Segurança