PT-2024-24612 · WordPress · Zita Elementor Site Library
Lucio Sá
·
Publicado
2024-06-25
·
Atualizado
2024-06-25
·
CVE-2024-3249
CVSS v3.1
4.3
Média
| Vetor | AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N |
Nome do software vulnerável e versões afetadas
Plugin Zita Elementor Site Library para o WordPress, versões até a 1.6.2, inclusive
Descrição
A vulnerabilidade permite que invasores autenticados com acesso de nível de assinante ou superior modifiquem dados sem a devida autorização devido à falta de verificação de permissão em várias funções, incluindo
import xml data, xml data import, import option data, import widgets e import customizer settings. Isso permite que invasores criem páginas, atualizem certas opções, como títulos de páginas do WooCommerce e configurações do Elementor, importem widgets e atualizem as configurações do personalizador do plugin e o CSS personalizado do WordPress.Recomendações
Para versões até a 1.6.2, inclusive, considere atualizar para uma versão em que essa vulnerabilidade esteja totalmente corrigida, pois a versão 1.6.2 resolve o problema apenas parcialmente.
Como solução temporária, considere restringir o acesso às funções
import xml data, xml data import, import option data, import widgets e import customizer settings até que uma versão totalmente corrigida esteja disponível.Correção
Missing Authorization
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Zita Elementor Site Library