PT-2024-39071 · WordPress · The Ultimate Member

Jack Taylor

·

Publicado

2024-10-03

·

Atualizado

2024-10-08

·

CVE-2024-8520

CVSS v3.1

5.3

Média

VetorAV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N
Nome do software vulnerável e versões afetadas:
Plugin “The Ultimate Member – User Profile, Registration, Login, Member Directory, Content Restriction & Membership” para versões do WordPress até a 2.8.6, inclusive
Descrição:
O problema está relacionado à falsificação de solicitação entre sites (CSRF) devido à falta ou incorreção na validação do nonce nas funções admin init ou user action hook. Isso permite que invasores não autenticados modifiquem o status de membro de um usuário por meio de uma solicitação falsificada, caso consigam induzir um administrador do site a realizar uma ação, como clicar em um link.
Recomendações:
Para versões até a 2.8.6, inclusive, atualize para uma versão que inclua a correção para o problema de validação de nonce nas funções admin init ou user action hook.
Como solução temporária, considere restringir o acesso às funções admin init e user action hook até que um patch esteja disponível.

Correção

CSRF

Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
dbugs@ptsecurity.com

Enumeração de Fraquezas

CWE-352

Identificadores relacionados

CVE-2024-8520

Produtos afetados

The Ultimate Member