PT-2024-39042 · WordPress · Easy Paypal Events

Krzysztof Zając · CVE-2024-8476 · Publicado 2024-09-24 · Atualizado 2024-10-02

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.3

Média

Vetor base

AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N

Nome do software vulnerável e versões afetadas:

Plugin Easy PayPal Events para WordPress, versões até a 1.2.1, inclusive

Descrição:

O problema se deve à falta ou à validação incorreta do nonce na função wpeevent plugin buttons(), permitindo que invasores não autenticados excluam publicações arbitrárias por meio de uma solicitação falsificada. Isso pode ocorrer se um invasor conseguir induzir um administrador do site a realizar uma ação, como clicar em um link.

Recomendações:

Para versões até a 1.2.1, inclusive, considere desativar a função wpeevent plugin buttons() até que um patch esteja disponível para impedir a exploração. Restrinja o acesso a áreas confidenciais do site para minimizar o risco de exclusão arbitrária de publicações.

Correção

CSRF

Enumeração de Fraquezas

CWE-352

Identificadores relacionados

CVE-2024-8476

Produtos afetados

Easy Paypal Events

Referências · 9

• https://t.me/cvenotify/96834 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2024-8476 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2024-8476 · Nota de Segurança
• https://plugins.trac.wordpress.org/browser/easy-paypal-events-tickets/tags/1.2.1/includes/private_buttons.php#L5 · Nota
• https://plugins.trac.wordpress.org/changeset/3155809/easy-paypal-events-tickets/trunk/includes/private_buttons.php · Correção
• https://t.me/cvedetector/6276 · Publicação no Telegram
• https://plugins.trac.wordpress.org/browser/easy-paypal-events-tickets/tags/1.2.1/includes/private_buttons.php#L273 · Nota
• https://wordfence.com/threat-intel/vulnerabilities/id/602d337e-0778-4182-8e77-0eb3b37d5a7a?source=cve · Nota
• https://twitter.com/VulmonFeeds/status/1838829791341854741 · Publicação no Twitter