PT-2024-31626 · Unknown · Advanced Custom Fields Pro

Ryo Sotoyama · Publicado 2024-09-04 · Atualizado 2024-09-13 · CVE-2024-45429

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.1

Média

Vetor base

AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

Nome do software vulnerável e versões afetadas:

Advanced Custom Fields versões 6.3.5 e anteriores

Advanced Custom Fields Pro versões 6.3.5 e anteriores

Descrição:

Existe uma vulnerabilidade de script entre sites (XSS), permitindo que um invasor com privilégios de configuração capability armazene um script arbitrário no rótulo do campo. Esse script pode ser executado no navegador de um usuário conectado com os mesmos privilégios do invasor.

Recomendações:

Para as versões 6.3.5 e anteriores do Advanced Custom Fields, atualize para uma versão posterior à 6.3.5 para resolver o problema.

Para as versões 6.3.5 e anteriores do Advanced Custom Fields Pro, atualize para uma versão posterior à 6.3.5 para resolver o problema.

Como solução temporária, considere restringir o privilégio de configuração capability para minimizar o risco de exploração.

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2024-45429

Produtos afetados

Advanced Custom Fields Pro

Referências · 10

• https://wordpress.org/plugins/advanced-custom-fields · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2024-45429 · Nota de Segurança
• https://t.me/cvedetector/4877 · Publicação no Telegram
• https://twitter.com/CVEnew/status/1831471269411197016 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2024-45429 · Aviso do Fabricante
• https://advancedcustomfields.com/blog/acf-6-3-6 · Nota
• https://jvn.jp/en/jp/JVN67963942 · Nota
• https://advancedcustomfields.com · Nota
• https://t.me/cvenotify/93266 · Publicação no Telegram
• https://t.me/cvenotify/94598 · Publicação no Telegram