PT-2024-33554 · WordPress · User Registration – Custom Registration Form
Thanh Nam Tran
·
Publicado
2024-06-01
·
Atualizado
2024-06-03
·
CVE-2024-4958
CVSS v3.1
7.1
Alta
| Vetor | AV:N/AC:H/PR:L/UI:R/S:U/C:H/I:H/A:H |
Nome do software vulnerável e versões afetadas
Plugin do WordPress “User Registration – Custom Registration Form, Login Form, and User Profile”, versões até e incluindo a 3.2.0.1
Descrição
A vulnerabilidade permite a modificação não autorizada de dados devido à falta de verificação de permissão na função
import form action. Isso permite que invasores autenticados com permissões de nível de colaborador ou superiores importem um formulário de registro com a função padrão de usuário definida como administrador. Se um administrador aprovar ou publicar uma postagem ou página com o shortcode do formulário importado, qualquer usuário poderá se registrar como administrador.Recomendações
Para versões até e incluindo a 3.2.0.1, considere desativar a função
import form action até que um patch esteja disponível para impedir a modificação não autorizada de dados. Restrinja o acesso ao recurso de importação de formulários de registro para minimizar o risco de exploração. Evite usar a função padrão de usuário de administrador em formulários de registro importados até que o problema seja resolvido.Correção
Missing Authorization
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
User Registration – Custom Registration Form