PT-2024-38357 · WordPress · Funnelforms Free

Lucio Sá · CVE-2024-7447 · Publicado 2024-08-28 · Atualizado 2024-09-13

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.3

Média

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N

Nome do software vulnerável e versões afetadas

Plugin Funnelforms Free para o WordPress, versões até a 3.7.3.2, inclusive

Descrição

O problema está relacionado à modificação não autorizada de dados devido à falta de verificação de permissão na função fnsf af2 handel file upload. Isso permite que invasores não autenticados enviem arquivos de mídia arbitrários para o site, mesmo que não existam formulários.

Recomendações

Para versões até e incluindo a 3.7.3.2, considere desativar a função fnsf af2 handel file upload até que um patch esteja disponível para impedir uploads não autorizados de mídia.

No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Missing Authorization

Enumeração de Fraquezas

CWE-862

Identificadores relacionados

CVE-2024-7447

Produtos afetados

Funnelforms Free

Referências · 9

• https://twitter.com/VulmonFeeds/status/1828803246434955403 · Publicação no Twitter
• https://t.me/cvenotify/92473 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2024-7447 · Aviso do Fabricante
• https://wordfence.com/threat-intel/vulnerabilities/id/9871f683-136e-45b5-90fb-a373a771014b?source=cve · Nota
• https://t.me/cvedetector/4324 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2024-7447 · Nota de Segurança
• https://plugins.trac.wordpress.org/browser/funnelforms-free/trunk/frontend/frontend.php#L2577 · Nota
• https://twitter.com/CVEnew/status/1828758790969213037 · Publicação no Twitter
• https://plugins.trac.wordpress.org/changeset/3141470 · Correção