PT-2024-36959 · WordPress · Login/Signup Popup

1337_Wannabe · CVE-2024-5665 · Publicado 2024-06-06 · Atualizado 2024-06-11

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.3

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N

Nome do software vulnerável e versões afetadas

Plugin “Login/Signup Popup (Inline Form + Woocommerce)” para o WordPress, versões 2.7.1 a 2.7.2

Descrição

O problema está relacionado ao acesso não autorizado a dados devido à falta de uma verificação de permissão na função export settings. Isso permite que invasores autenticados com acesso de nível de Assinante ou superior leiam opções arbitrárias nos sites afetados.

Recomendações

Para as versões 2.7.1 a 2.7.2, considere desativar a função export settings até que um patch esteja disponível para impedir o acesso não autorizado.

No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Missing Authorization

Enumeração de Fraquezas

CWE-862

Identificadores relacionados

CVE-2024-5665

Produtos afetados

Login/Signup Popup

Referências · 9

• https://t.me/cvenotify/82872 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2024-5665 · Nota de Segurança
• https://twitter.com/CVEnew/status/1798623654051262551 · Publicação no Twitter
• https://wordfence.com/threat-intel/vulnerabilities/id/1a304e9a-9518-4a6a-b36a-963cb329f5c3?source=cve · Nota
• https://t.me/cvenotify/82157 · Publicação no Telegram
• https://twitter.com/VulmonFeeds/status/1798665988352934322 · Publicação no Twitter
• https://plugins.trac.wordpress.org/browser/easy-login-woocommerce/trunk/includes/xoo-framework/admin/class-xoo-admin-settings.php?rev=3084943#L69 · Nota
• https://osv.dev/vulnerability/CVE-2024-5665 · Aviso do Fabricante
• https://plugins.trac.wordpress.org/changeset/3093994 · Correção