PT-2024-29210 · WordPress · Adfo

Aillesim + 1 · Publicado 2024-05-09 · Atualizado 2024-05-14 · CVE-2024-4103

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.3

Média

Vetor base

AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N

Nome do software vulnerável e versões afetadas

ADFO – Plugin de dados personalizados no painel de administração para versões do WordPress anteriores à 1.9.1

Descrição

O problema está relacionado à falsificação de solicitação entre sites (Cross-Site Request Forgery). É causado pela falta ou incorreção na validação do nonce em várias funções acionadas por meio da função controller(). Isso permite que invasores não autenticados editem as configurações do plugin induzindo um administrador do site a realizar uma ação, como clicar em um link.

Recomendações

Para versões anteriores à 1.9.1, atualize para a versão 1.9.1 ou posterior para resolver o problema. Como solução temporária, considere restringir o acesso ao painel de administração para minimizar o risco de exploração.

Correção

CSRF

Enumeração de Fraquezas

CWE-352

Identificadores relacionados

CVE-2024-4103

Produtos afetados

Adfo

Referências · 3

• https://nvd.nist.gov/vuln/detail/CVE-2024-4103 · Nota de Segurança
• https://wordfence.com/threat-intel/vulnerabilities/id/8d797238-f8f3-44d7-8c16-bee23ce12ae0?source=cve · Nota
• https://plugins.trac.wordpress.org/changeset/3081090/admin-form/trunk/admin/class-af-list-admin.php · Nota