PT-2024-35688 · WordPress · Login/Signup Popup
1337_Wannabe
+1
·
Publicado
2024-06-05
·
Atualizado
2024-07-24
·
CVE-2024-5324
CVSS v3.1
8.8
Alta
| Vetor | AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H |
Nome do software vulnerável e versões afetadas
Plugin “Login/Signup Popup (Inline Form + Woocommerce)” para o WordPress, versões 2.7.1 a 2.7.2
Descrição
O problema está relacionado à falta de uma verificação de permissão na função
import settings, permitindo que invasores autenticados com acesso de nível “Assinante” ou superior modifiquem opções arbitrárias nos sites afetados. Isso pode ser usado para habilitar o registro de novos usuários e definir a função padrão para novos usuários como Administrador.Recomendações
Para as versões 2.7.1 a 2.7.2, atualize para uma versão que inclua uma correção para a falta de verificação de permissão na função
import settings.Como solução temporária, considere desativar a função
import settings até que um patch esteja disponível.Restrinja o acesso às configurações do plugin para minimizar o risco de exploração.
Evite usar o plugin até que o problema seja resolvido.
No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.
Incorrect Authorization
Missing Authorization
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Login/Signup Popup