PT-2024-27098 · Wpzoom · Wpzoom Social Feed Widget & Block

Mgthuramoemyint + 1 · Publicado 2024-04-13 · Atualizado 2024-04-15 · CVE-2024-3662

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.3

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:L

Nome do software vulnerável e versões afetadas

Plugin WPZOOM Social Feed Widget & Block para o WordPress, versões até a 2.1.13, inclusive

Descrição

O problema está relacionado ao acesso não autorizado devido à falta de verificação de permissão na função wpzoom instagram clear data(). Isso permite que invasores autenticados com acesso de nível de assinante ou superior excluam todas as imagens do Instagram instaladas no site.

Recomendações

Para versões até a 2.1.13, inclusive, atualize para uma versão superior à 2.1.13 para resolver o problema. Como solução temporária, considere desativar a função wpzoom instagram clear data() até que um patch esteja disponível. Restrinja o acesso às funcionalidades do plugin para minimizar o risco de exploração.

Correção

Missing Authorization

Enumeração de Fraquezas

CWE-862

Identificadores relacionados

CVE-2024-3662

Produtos afetados

Wpzoom Social Feed Widget & Block

Referências · 6

• https://nvd.nist.gov/vuln/detail/CVE-2024-3662 · Nota de Segurança
• https://t.me/cvenotify/76663 · Publicação no Telegram
• https://twitter.com/VulmonFeeds/status/1779100445815771297 · Publicação no Twitter
• https://wordfence.com/threat-intel/vulnerabilities/id/e3a70510-51c8-49c3-933b-79e79dfb8611?source=cve · Nota
• https://twitter.com/CVEnew/status/1779090467587822038 · Publicação no Twitter
• https://plugins.trac.wordpress.org/changeset?sfp_email=&sfph_mail=&reponame=&old=3069664%40instagram-widget-by-wpzoom&new=3069664%40instagram-widget-by-wpzoom&sfp_email=&sfph_mail= · Nota