PT-2024-38311 · WordPress · Geo Controller

Lucio Sá · Publicado 2024-09-05 · Atualizado 2024-09-06 · CVE-2024-7381

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.3

Média

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N

Nome do software vulnerável e versões afetadas

Plugin Geo Controller para versões do WordPress até a 8.6.9, inclusive

Descrição

O problema decorre da ausência de verificações de autorização e permissão na função ajax shortcode cache, permitindo que invasores não autenticados executem códigos de atalho arbitrários disponíveis no site alvo. Isso possibilita uma potencial exploração sem a necessidade de autenticação.

Recomendações

Para versões até a 8.6.9, inclusive, considere desativar a função ajax shortcode cache como uma solução temporária até que um patch esteja disponível. Restrinja o acesso ao plugin Geo Controller para minimizar o risco de exploração. Evite usar o plugin Geo Controller até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Missing Authorization

Enumeração de Fraquezas

CWE-862

Identificadores relacionados

CVE-2024-7381

Produtos afetados

Geo Controller

Referências · 10

• https://plugins.trac.wordpress.org/browser/cf-geoplugin/tags/8.6.9/inc/classes/Shortcodes.php#L1932 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2024-7381 · Nota de Segurança
• https://t.me/cvedetector/4896 · Publicação no Telegram
• https://wordfence.com/threat-intel/vulnerabilities/id/4ed7b13a-eec3-4035-8815-15228fb05af1?source=cve · Nota
• https://plugins.trac.wordpress.org/changeset/3149577/cf-geoplugin/trunk/inc/classes/Shortcodes.php · Nota
• https://t.me/cvenotify/93519 · Publicação no Telegram
• https://twitter.com/CVEnew/status/1831652063475794392 · Publicação no Twitter
• https://twitter.com/VulmonFeeds/status/1831672628144193695 · Publicação no Twitter
• https://t.me/cvenotify/93293 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2024-7381 · Aviso do Fabricante