PT-2024-28621 · WordPress · Cooked

Iamr3N0 + 1 · Publicado 2024-07-17 · Atualizado 2025-02-10 · CVE-2024-39681

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Plugin Cooked para o WordPress, versões até e incluindo a 1.7.15.4

Descrição

O problema está relacionado a uma falha de falsificação de solicitação entre sites (CSRF), causada pela falta ou incorreção na validação do nonce no manipulador de ações AJAX. Isso poderia permitir que um invasor induzisse usuários a realizar ações indesejadas sob sua autenticação atual.

Recomendações

Para versões até a 1.7.15.4, inclusive, atualize para a versão 1.8.0 para resolver o problema.

Como solução temporária, considere restringir o acesso ao manipulador de ação AJAX até que a atualização seja aplicada.

Exploit

Correção

CSRF

Enumeração de Fraquezas

CWE-352

Identificadores relacionados

CVE-2024-39681

GHSA-Q7P9-2X5H-VXM7

Produtos afetados

Cooked

Referências · 7

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2024/39xxx/CVE-2024-39681.json · Exploit
• https://github.com/XjSv/Cooked/security/advisories/GHSA-q7p9-2x5h-vxm7 · Aviso do Fabricante
• https://t.me/cvenotify/86587 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2024-39681 · Aviso do Fabricante
• https://t.me/cvenotify/110589 · Publicação no Telegram
• https://t.me/cvedetector/1132 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2024-39681 · Nota de Segurança