PT-2024-37641 · WordPress · Elementskit Elementor Addons

Matthew Rollings + 1 · CVE-2024-6455 · Publicado 2024-07-18 · Atualizado 2025-01-16

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.3

Média

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N

Nome do software vulnerável e versões afetadas

Plugin de complementos ElementsKit Elementor para o WordPress, versões até a 3.2.0, inclusive

Descrição

A vulnerabilidade permite que invasores não autenticados visualizem qualquer item criado no Elementor, incluindo posts, páginas e modelos, tais como rascunhos, itens pendentes e privados, devido à falta de verificações de permissão na função ekit widgetarea content.

Recomendações

Para versões até a 3.2.0, inclusive, atualize para uma versão que inclua as verificações de capacidade necessárias para a função ekit widgetarea content, a fim de evitar a exposição de informações.

Como solução temporária, considere restringir o acesso à função ekit widgetarea content até que um patch esteja disponível.

Correção

Missing Authorization

Information Disclosure

Enumeração de Fraquezas

CWE-862

CWE-200

Identificadores relacionados

CVE-2024-6455

Produtos afetados

Elementskit Elementor Addons

Referências · 7

• https://t.me/cvenotify/107631 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2024-6455 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2024-6455 · Nota de Segurança
• https://t.me/cvedetector/1180 · Publicação no Telegram
• https://wordfence.com/threat-intel/vulnerabilities/id/7c336530-09b2-4ead-923f-f1a6266e3e8e?source=cve · Nota
• https://plugins.trac.wordpress.org/browser/elementskit-lite/tags/3.2.0/modules/controls/widget-area-utils.php#L15 · Nota
• https://t.me/cvenotify/86685 · Publicação no Telegram