PT-2024-30942 · WordPress · Wp-Vipergb

Aillesim + 1 · Publicado 2024-05-24 · Atualizado 2024-05-24 · CVE-2024-4409

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.3

Média

Vetor base

AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N

Nome do software vulnerável e versões afetadas

Plugin WP-ViperGB para versões do WordPress até a 1.6.1, inclusive

Descrição

O problema se deve à falta ou à validação incorreta do nonce ao salvar as configurações do plugin, possibilitando que invasores não autenticados alterem as configurações do plugin por meio de uma solicitação falsificada. Isso pode ocorrer se um invasor conseguir induzir um administrador do site a realizar uma ação, como clicar em um link.

Recomendações

Para o plugin WP-ViperGB para versões do WordPress até a 1.6.1, inclusive, atualize para uma versão posterior à 1.6.1 para resolver o problema.

Como solução temporária, considere restringir o acesso à página de configurações do plugin para minimizar o risco de exploração.

Correção

CSRF

Enumeração de Fraquezas

CWE-352

Identificadores relacionados

CVE-2024-4409

Produtos afetados

Wp-Vipergb

Referências · 5

• https://nvd.nist.gov/vuln/detail/CVE-2024-4409 · Nota de Segurança
• https://plugins.trac.wordpress.org/changeset?sfp_email=&sfph_mail=&reponame=&new=3091230%40wp-vipergb%2Ftrunk&old=2812759%40wp-vipergb%2Ftrunk&sfp_email=&sfph_mail= · Nota
• https://wordfence.com/threat-intel/vulnerabilities/id/e86581bd-94c3-4b05-9590-ca3b62073703?source=cve · Nota
• https://t.me/cvenotify/80945 · Publicação no Telegram
• https://t.me/cvenotify/80964 · Publicação no Telegram