PT-2024-37687 · WordPress · Modern Events Calendar

Foxyyy + 1 · Publicado 2024-08-07 · Atualizado 2024-08-07 · CVE-2024-6522

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.6

Crítica

Vetor base

AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:N

Nome do software vulnerável e versões afetadas

O plugin Modern Events Calendar para versões do WordPress até a 7.12.1, inclusive

Descrição

A vulnerabilidade permite que invasores autenticados com acesso de nível de Assinante ou superior realizem solicitações web para destinos arbitrários a partir da aplicação web. Isso pode ser usado para consultar e modificar informações de serviços internos por meio da função AJAX mec fes form.

Recomendações

Para versões até a 7.12.1, inclusive, considere desativar a função AJAX mec fes form como uma solução temporária até que um patch esteja disponível. Restrinja o acesso a serviços internos para minimizar o risco de exploração.

Correção

SSRF

Enumeração de Fraquezas

CWE-918

Identificadores relacionados

CVE-2024-6522

Produtos afetados

Modern Events Calendar

Referências · 8

• https://t.me/cvedetector/2680 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2024-6522 · Aviso do Fabricante
• https://wordpress.org/plugins/modern-events-calendar-lite/#developers · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2024-6522 · Nota de Segurança
• https://t.me/cvenotify/89613 · Publicação no Telegram
• https://wordfence.com/threat-intel/vulnerabilities/id/00bf8f2f-6ab4-4430-800b-5b97abe7589e?source=cve · Nota
• https://mec.webnus.net/change-log · Nota
• https://plugins.trac.wordpress.org/browser/modern-events-calendar-lite/trunk/app/features/fes.php#L54 · Nota