PT-2024-37378 · WordPress · Learnpress

Khayal Farzaliyev + 1 · CVE-2024-6088 · Publicado 2024-07-02 · Atualizado 2024-07-02

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.3

Média

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N

Nome do software vulnerável e versões afetadas:

LearnPress – Plugin LMS para WordPress, versões até e incluindo a 4.2.6.8.1

Descrição:

A vulnerabilidade permite o registro de usuários não autorizados devido à falta de uma verificação de permissão na função register. Isso permite que invasores não autenticados contornem a restrição de registro de usuários e criem uma nova conta com a função padrão.

Recomendações:

Para versões até a 4.2.6.8.1, inclusive, considere desativar a função register até que um patch esteja disponível para impedir o registro de usuários não autorizados.

Correção

Missing Authorization

Enumeração de Fraquezas

CWE-862

Identificadores relacionados

CVE-2024-6088

Produtos afetados

Learnpress

Referências · 6

• https://plugins.trac.wordpress.org/changeset/3109339 · Correção
• https://nvd.nist.gov/vuln/detail/CVE-2024-6088 · Nota de Segurança
• https://wordfence.com/threat-intel/vulnerabilities/id/04e0ddff-16af-4c85-b5b0-cf767684ee08?source=cve · Nota
• https://plugins.trac.wordpress.org/browser/learnpress/tags/4.2.6.8.1/inc/class-lp-forms-handler.php#L235 · Nota
• https://osv.dev/vulnerability/CVE-2024-6088 · Aviso do Fabricante
• https://plugins.trac.wordpress.org/browser/learnpress/tags/4.2.6.8.1/inc/jwt/includes/class-jwt-public.php#L127 · Nota