PT-2024-26848 · WordPress · Promolayer

Lucio Sá · CVE-2024-3602 · Publicado 2024-06-20 · Atualizado 2024-07-15

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.3

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N

Nome do software vulnerável e versões afetadas

Plugin Promolayer para WordPress, versões até e incluindo a 1.1.0

Descrição

O plugin Promolayer para WordPress está afetado por uma falha que permite atualizações não autorizadas nas configurações do plugin. Isso se deve à ausência de uma verificação de permissão na função disconnect promolayer. Como resultado, invasores autenticados com acesso de assinante ou superior podem remover a conexão do Promolayer.

Recomendações

Para versões até a 1.1.0, inclusive, considere desativar a função disconnect promolayer até que um patch esteja disponível para impedir atualizações não autorizadas nas configurações do plugin.

No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Missing Authorization

Enumeração de Fraquezas

CWE-862

Identificadores relacionados

CVE-2024-3602

Produtos afetados

Promolayer

Referências · 7

• https://nvd.nist.gov/vuln/detail/CVE-2024-3602 · Nota de Segurança
• https://t.me/cvenotify/83798 · Publicação no Telegram
• https://wordfence.com/threat-intel/vulnerabilities/id/05b051bc-3b1c-412e-b3d0-98ff2c8bc06e?source=cve · Nota
• https://plugins.trac.wordpress.org/browser/promolayer-popup-builder/trunk/admin/class-promolayer-admin.php#L208 · Nota
• https://plugins.trac.wordpress.org/changeset/3105496 · Nota
• https://osv.dev/vulnerability/CVE-2024-3602 · Aviso do Fabricante
• https://t.me/cvenotify/86239 · Publicação no Telegram