PT-2024-31613 · WordPress · Custom Product List Table

Aillesim + 1 · Publicado 2024-06-19 · Atualizado 2024-06-20 · CVE-2024-4541

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.3

Média

Vetor base

AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N

Nome do software vulnerável e versões afetadas:

Plugin “Custom Product List Table” para versões do WordPress até a 3.0.0, inclusive

Descrição:

O problema se deve à falta ou à incorreção na validação do nonce ao modificar produtos, possibilitando que invasores não autenticados adicionem, excluam, editem em massa, aprovem ou cancelem produtos por meio de uma solicitação falsificada. Isso pode ocorrer se um invasor conseguir induzir um administrador do site a realizar uma ação, como clicar em um link.

Recomendações:

Para versões até a 3.0.0, inclusive, atualize para uma versão que inclua a validação adequada do nonce para prevenir ataques de falsificação de solicitação entre sites (Cross-Site Request Forgery). Como solução temporária, considere restringir o acesso aos recursos de modificação de produtos para minimizar o risco de exploração.

Correção

CSRF

Enumeração de Fraquezas

CWE-352

Identificadores relacionados

CVE-2024-4541

Produtos afetados

Custom Product List Table

Referências · 4

• https://wordfence.com/threat-intel/vulnerabilities/id/4c046e0c-32d2-47d1-9890-d05d69217161?source=cve · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2024-4541 · Nota de Segurança
• https://t.me/cvenotify/83709 · Publicação no Telegram
• https://wordpress.org/plugins/custom-product-list-table/#description · Nota