PT-2024-37070 · WordPress · Featured Image Generator

Lucio Sá · Publicado 2024-07-10 · Atualizado 2024-07-11 · CVE-2024-5677

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.3

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N

Nome do software vulnerável e versões afetadas

Plugin Featured Image Generator para versões do WordPress até a 1.3.1, inclusive

Descrição

O problema decorre da ausência de uma verificação de permissão na função fig save after generate image, permitindo que invasores autenticados com acesso de nível de Assinante ou superior enviem imagens arbitrárias para uma galeria associada a uma publicação.

Recomendações

Para versões até a 1.3.1, inclusive, atualize para uma versão que inclua uma correção para a falta de verificação de permissão na função fig save after generate image.

Como solução temporária, considere restringir o acesso à função fig save after generate image para impedir uploads não autorizados de imagens.

Correção

Missing Authorization

Enumeração de Fraquezas

CWE-862

Identificadores relacionados

CVE-2024-5677

Produtos afetados

Featured Image Generator

Referências · 6

• https://wordfence.com/threat-intel/vulnerabilities/id/56161d67-7378-4349-8fe5-da73da36afa0?source=cve · Nota
• https://plugins.trac.wordpress.org/browser/featured-image-generator/tags/1.3.1/admin/class-featured-image-generator-admin.php#L575 · Nota
• https://t.me/cvedetector/496 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2024-5677 · Nota de Segurança
• https://twitter.com/CVEnew/status/1810944922813595955 · Publicação no Twitter
• https://t.me/cvenotify/85647 · Publicação no Telegram