PT-2024-38427 · WordPress · Relevanssi Live Ajax Search

Mikko Saari + 1 · Publicado 2024-08-27 · Atualizado 2024-08-28 · CVE-2024-7573

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.3

Média

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N

Nome do software vulnerável e versões afetadas

Plugin Relevanssi Live Ajax Search para versões do WordPress até a 2.4, inclusive

Descrição

O problema se deve à validação insuficiente dos dados fornecidos via POST na função search, permitindo que invasores não autenticados injetem argumentos arbitrários em uma consulta WP Query e, potencialmente, exponham informações confidenciais, como anexos ou publicações privadas.

Recomendações

Para o plugin Relevanssi Live Ajax Search para versões do WordPress até a 2.4, inclusive, atualize para uma versão superior à 2.4 para resolver o problema.

Como solução temporária, considere desativar a função search até que um patch esteja disponível.

Restrinja o acesso à consulta WP Query para minimizar o risco de exploração.

Evite usar o plugin Relevanssi Live Ajax Search até que o problema seja resolvido.

Correção

Argument Injection

Enumeração de Fraquezas

CWE-88

Identificadores relacionados

CVE-2024-7573

Produtos afetados

Relevanssi Live Ajax Search

Referências · 8

• https://wordfence.com/threat-intel/vulnerabilities/id/bbcb648a-4a3e-4645-bd62-4415b1cf6516?source=cve · Nota
• https://twitter.com/VulmonFeeds/status/1828667475463897218 · Publicação no Twitter
• https://twitter.com/oktsec/status/1828496281393639825 · Publicação no Twitter
• https://t.me/cvedetector/4298 · Publicação no Telegram
• https://plugins.trac.wordpress.org/changeset/3135074/relevanssi-live-ajax-search · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2024-7573 · Nota de Segurança
• https://t.me/cvenotify/92433 · Publicação no Telegram
• https://twitter.com/CVEnew/status/1828626727771480211 · Publicação no Twitter