PT-2024-38342 · WordPress · Zotpress

Rafshanzani Suhada · Publicado 2024-11-05 · Atualizado 2024-11-08 · CVE-2024-7429

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.3

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N

Nome do software vulnerável e versões afetadas

Plugin Zotpress para o WordPress, versões até a 7.3.12, inclusive

Descrição

A vulnerabilidade permite a modificação não autorizada de dados devido à falta de uma verificação de permissão na função Zotpress process accounts AJAX. Isso possibilita que invasores autenticados, com acesso de nível Contribuidor ou superior, redefinam as configurações do plugin.

Recomendações

Para versões até a 7.3.12, inclusive, atualize para uma versão superior à 7.3.12 para resolver o problema. Como solução temporária, considere restringir o acesso à função Zotpress process accounts AJAX para impedir modificações não autorizadas.

Correção

Improper Access Control

Missing Authorization

Enumeração de Fraquezas

CWE-284

CWE-862

Identificadores relacionados

CVE-2024-7429

Produtos afetados

Zotpress

Referências · 7

• https://plugins.trac.wordpress.org/changeset/3153348/zotpress/trunk/lib/admin/admin.php · Correção
• https://t.me/cvedetector/9839 · Publicação no Telegram
• https://twitter.com/CVEnew/status/1853736857432965177 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2024-7429 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2024-7429 · Aviso do Fabricante
• https://wordfence.com/threat-intel/vulnerabilities/id/1f38676b-270f-4b0f-bc98-a14a26b86a50?source=cve · Nota
• https://plugins.trac.wordpress.org/browser/zotpress/trunk/lib/admin/admin.php#L40 · Nota