PT-2024-37439 · WordPress · Eventon
CVSS v3.1
7.2
Alta
| Vetor | AV:N/AC:L/PR:N/UI:N/S:C/C:L/I:L/A:N |
Nome do software vulnerável e versões afetadas:
Plugin EventON para WordPress, versões até a 2.2.15, inclusive
Descrição:
O problema decorre da falta de uma verificação de permissão na ação Ajax ‘eventon import settings’, permitindo que invasores não autenticados modifiquem dados. Isso permite que invasores atualizem as configurações do plugin, incluindo a adição de código de cross-site scripting armazenado às opções de configuração exibidas nas páginas do calendário de eventos.
Recomendações:
Para versões até a 2.2.15, inclusive, atualize para uma versão superior à 2.2.15 para resolver o problema.
Como solução temporária, considere desativar a ação ajax
eventon import settings até que um patch esteja disponível.Restrinja o acesso às páginas do calendário de eventos para minimizar o risco de exploração.
Correção
Missing Authorization
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Eventon