PT-2024-37599 · WordPress · Floating Social Buttons
Yoshihito Kamata
·
Publicado
2024-06-29
·
Atualizado
2024-08-20
·
CVE-2024-6405
CVSS v3.1
6.1
Média
| Vetor | AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N |
Nome do software vulnerável e versões afetadas
Plugin Floating Social Buttons para versões do WordPress até a 1.5, inclusive
Descrição
O problema se deve à falta ou à validação incorreta do nonce na função
floating social buttons option(), possibilitando que invasores não autenticados atualizem as configurações do plugin e injetem scripts maliciosos na web por meio de uma solicitação falsificada. Isso pode ocorrer se um invasor conseguir induzir um administrador do site a realizar uma ação, como clicar em um link.Recomendações
Para versões até a 1.5, inclusive, considere desativar a função
floating social buttons option() até que um patch esteja disponível para impedir a exploração. Restrinja o acesso às configurações do plugin para minimizar o risco de atualizações não autorizadas. Evite usar o plugin até que uma versão corrigida seja lançada. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.CSRF
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Floating Social Buttons