PT-2024-38870 · WordPress · Reviews Feed – Add Testimonials/Customer Reviews From Google Reviews

Jack_Sparrow + 1 · Publicado 2024-08-27 · Atualizado 2024-08-30 · CVE-2024-8199

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.3

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N

Nome do software vulnerável e versões afetadas:

Plugin “Reviews Feed – Add Testimonials and Customer Reviews From Google Reviews, Yelp, TripAdvisor, and More” para o WordPress, versões 1.1.2 e anteriores

Descrição:

O problema está relacionado à falta de uma verificação de permissão na função update api key, permitindo que invasores autenticados com acesso de nível “Assinante” ou superior atualizem as opções da chave API. Isso possibilita que invasores modifiquem dados sem a devida autorização.

Recomendações:

Para as versões 1.1.2 e anteriores, atualize o plugin imediatamente para corrigir a falha. Como solução temporária, considere restringir o acesso à função update api key até que uma correção esteja disponível.

Correção

Missing Authorization

Enumeração de Fraquezas

CWE-862

Identificadores relacionados

CVE-2024-8199

Produtos afetados

Reviews Feed – Add Testimonials/Customer Reviews From Google Reviews

Referências · 10

• https://plugins.trac.wordpress.org/browser/reviews-feed/tags/1.1.2/class/Common/Builder/SBR_Feed_Saver_Manager.php#L699 · Nota
• https://osv.dev/vulnerability/CVE-2024-8199 · Aviso do Fabricante
• https://twitter.com/VulmonFeeds/status/1828503459974328668 · Publicação no Twitter
• https://t.me/cvedetector/4252 · Publicação no Telegram
• https://twitter.com/oktsec/status/1828511389628916100 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2024-8199 · Nota de Segurança
• https://t.me/cvenotify/92839 · Publicação no Telegram
• https://wordfence.com/threat-intel/vulnerabilities/id/dc3e89e5-2e7e-497e-b340-b787ebdf3711?source=cve · Correção
• https://twitter.com/CVEnew/status/1828457879721893996 · Publicação no Twitter
• https://plugins.trac.wordpress.org/changeset/3125315 · Correção