PT-2024-32870 · WordPress · Boostify Header Footer Builder

Lucio Sá · CVE-2024-4788 · Publicado 2024-06-05 · Atualizado 2024-08-05

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.3

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N

Nome do software vulnerável e versões afetadas

Plugin Boostify Header Footer Builder for Elementor para o WordPress, versões até a 1.3.3, inclusive

Descrição

O problema está relacionado à modificação não autorizada de dados devido à falta de verificação de permissão na função create bhf post. Isso permite que invasores autenticados com acesso de nível de assinante ou superior criem páginas ou publicações com conteúdo arbitrário.

Recomendações

Para versões até a 1.3.3, inclusive, atualize para uma versão que inclua uma correção para a falta de verificação de permissão na função create bhf post.

Como solução temporária, considere restringir o acesso à função create bhf post para impedir a modificação não autorizada de dados.

Correção

Missing Authorization

Enumeração de Fraquezas

CWE-862

Identificadores relacionados

CVE-2024-4788

Produtos afetados

Boostify Header Footer Builder

Referências · 8

• https://t.me/cvenotify/82138 · Publicação no Telegram
• https://twitter.com/CVEnew/status/1798543822936482201 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2024-4788 · Aviso do Fabricante
• https://plugins.trac.wordpress.org/changeset?sfp_email=&sfph_mail=&reponame=&old=3108382%40boostify-header-footer-builder&new=3108382%40boostify-header-footer-builder&sfp_email=&sfph_mail= · Nota
• https://plugins.trac.wordpress.org/browser/boostify-header-footer-builder/trunk/inc/admin/class-admin.php#L280 · Correção
• https://nvd.nist.gov/vuln/detail/CVE-2024-4788 · Nota de Segurança
• https://twitter.com/VulmonFeeds/status/1798605944537923743 · Publicação no Twitter
• https://wordfence.com/threat-intel/vulnerabilities/id/1090acfc-5b0c-478a-ac71-db54fdaefdf5?source=cve · Correção