PT-2024-32074 · WordPress · Wp Reset

Foxyyy + 1 · Publicado 2024-06-07 · Atualizado 2024-10-31 · CVE-2024-4661

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.3

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N

Nome do software vulnerável e versões afetadas

Plugin WP Reset para versões do WordPress até a 2.02, inclusive

Descrição

O problema está relacionado à ausência de uma verificação de permissão na função save ajax, permitindo que invasores autenticados com acesso de nível de assinante ou superior modifiquem o valor do campo Chave de Licença na configuração Ativar Licença Pro. Isso permite a modificação não autorizada de dados.

Recomendações

Para o plugin WP Reset para versões do WordPress até a 2.02, inclusive: atualize o plugin para uma versão que inclua uma correção para a falta de verificação de permissão na função save ajax. Como solução temporária, considere restringir o acesso à função save ajax para impedir a modificação não autorizada do campo License Key.

Correção

Missing Authorization

Enumeração de Fraquezas

CWE-862

Identificadores relacionados

CVE-2024-4661

Produtos afetados

Wp Reset

Referências · 9

• https://nvd.nist.gov/vuln/detail/CVE-2024-4661 · Nota de Segurança
• https://twitter.com/CVEnew/status/1799318243695600007 · Publicação no Twitter
• https://twitter.com/linuxpatch/status/1799336953998868898 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2024-4661 · Aviso do Fabricante
• https://twitter.com/VulmonFeeds/status/1799391978481725926 · Publicação no Twitter
• https://t.me/cvenotify/82345 · Publicação no Telegram
• https://wordfence.com/threat-intel/vulnerabilities/id/0d2dc86e-f937-429f-9baa-0eb0a8715513?source=cve · Nota
• https://t.me/cvenotify/82522 · Publicação no Telegram
• https://plugins.trac.wordpress.org/changeset/3097597/wp-reset · Correção