PT-2024-38902 · WordPress · Mstore Api

Wesley · Publicado 2024-09-13 · Atualizado 2024-09-18 · CVE-2024-8269

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.3

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L

Nome do software vulnerável e versões afetadas:

Plugin MStore API para o WordPress, versões até a 4.15.3, inclusive

Descrição:

O problema decorre do fato de o plugin não verificar se o registro de usuários está habilitado antes de criar uma conta de usuário por meio da função register(). Isso permite que invasores não autenticados criem contas de usuário nos sites, mesmo quando o registro de usuários está desativado e a funcionalidade do plugin não está ativada.

Recomendações:

Para versões até a 4.15.3, inclusive, atualize para uma versão superior à 4.15.3 para resolver o problema.

Como solução temporária, considere desativar a função register() até que um patch esteja disponível.

Correção

Improper Access Control

Enumeração de Fraquezas

CWE-284

Identificadores relacionados

CVE-2024-8269

Produtos afetados

Mstore Api

Referências · 10

• https://plugins.trac.wordpress.org/browser/mstore-api/tags/4.15.2/controllers/flutter-user.php#L406 · Nota
• https://plugins.trac.wordpress.org/browser/mstore-api/tags/4.15.2/controllers/flutter-user.php#L454 · Nota
• https://wordfence.com/threat-intel/vulnerabilities/id/59c5b6e7-74b0-430d-8b4a-5a42220f3ec9?source=cve · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2024-8269 · Nota de Segurança
• https://t.me/latest_high_impact_cve/1145 · Publicação no Telegram
• https://twitter.com/VulmonFeeds/status/1834641069679505473 · Publicação no Twitter
• https://plugins.trac.wordpress.org/changeset/3147900/mstore-api/trunk/controllers/flutter-user.php · Correção
• https://osv.dev/vulnerability/CVE-2024-8269 · Aviso do Fabricante
• https://t.me/cvedetector/5605 · Publicação no Telegram
• https://twitter.com/CVEnew/status/1834633848518570070 · Publicação no Twitter