PT-2024-29220 · WordPress · Adfo

Aillesim + 1 · Publicado 2024-05-09 · Atualizado 2024-05-14 · CVE-2024-4104

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.1

Média

Vetor base

AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

Nome do software vulnerável e versões afetadas

ADFO – Plugin de dados personalizados no painel de administração para versões do WordPress até a 1.9.0, inclusive

Descrição

O problema decorre da sanitização insuficiente de entradas e da falta de escapamento de saídas, permitindo que invasores não autenticados injetem scripts web arbitrários por meio do parâmetro dbp id. Isso permite que invasores executem scripts se conseguirem induzir um usuário a realizar uma ação específica, como clicar em um link.

Recomendações

Para o ADFO – plugin de dados personalizados no painel de administração para versões do WordPress até a 1.9.0, inclusive:

Evite usar o parâmetro dbp id nas páginas afetadas até que o problema seja resolvido.

Como solução temporária, considere restringir o acesso ao painel de administração para minimizar o risco de exploração.

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2024-4104

Produtos afetados

Adfo

Referências · 4

• https://nvd.nist.gov/vuln/detail/CVE-2024-4104 · Nota de Segurança
• https://plugins.trac.wordpress.org/browser/admin-form/trunk/admin/class-af-list-admin.php · Nota
• https://wordfence.com/threat-intel/vulnerabilities/id/e61110fc-cc2d-4207-97b6-b21459334216?source=cve · Nota
• https://plugins.trac.wordpress.org/changeset?sfp_email=&sfph_mail=&reponame=&old=3081090%40admin-form&new=3081090%40admin-form&sfp_email=&sfph_mail= · Nota