PT-2024-39463 · WordPress · Rank Math Seo

Leo + 1 · Publicado 2024-10-05 · Atualizado 2025-12-01 · CVE-2024-9161

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.5

Média

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:L

Nome do software vulnerável e versões afetadas

Plugin Rank Math SEO – AI SEO Tools to Dominate SEO Rankings para o WordPress, versões até e incluindo a 1.0.228

Descrição

O problema é causado pela falta de uma verificação de permissão na função update metadata, permitindo que invasores não autenticados insiram novos metadados e atualizem os existentes que começam com rank math, além de excluir metadados de usuários e termos existentes de forma arbitrária. Isso pode levar à perda de acesso ao painel de administração para qualquer usuário registrado, incluindo administradores.

Recomendações

Para versões até e incluindo a 1.0.228, atualize para uma versão superior à 1.0.228 para resolver o problema.

Como solução temporária, considere desativar a função update metadata até que um patch esteja disponível.

Restrinja o acesso a metadados que começam com rank math para minimizar o risco de exploração.

Evite usar a função update metadata no plugin afetado até que o problema seja resolvido.

Correção

Missing Authorization

Enumeração de Fraquezas

CWE-862

Identificadores relacionados

CVE-2024-9161

Produtos afetados

Rank Math Seo

Referências · 15

• https://twitter.com/VulmonFeeds/status/1842599524692377972 · Publicação no Twitter
• https://t.me/cvedetector/7054 · Publicação no Telegram
• https://plugins.trac.wordpress.org/browser/seo-by-rank-math/trunk/includes/rest/class-shared.php#L161 · Nota
• https://t.me/cvenotify/97133 · Publicação no Telegram
• https://plugins.trac.wordpress.org/browser/seo-by-rank-math/trunk/includes/rest/class-shared.php#L162 · Nota
• https://plugins.trac.wordpress.org/browser/seo-by-rank-math/trunk/includes/rest/class-shared.php#L120 · Nota
• https://t.me/cvenotify/109052 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2024-9161 · Aviso do Fabricante
• https://twitter.com/pdnuclei_bot/status/1995553513527705711 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2024-9161 · Nota de Segurança
• https://wordfence.com/threat-intel/vulnerabilities/id/7df39a64-76c5-4ebe-a271-44bd147a3a86?source=cve · Nota
• https://plugins.trac.wordpress.org/changeset/3161896 · Correção
• https://plugins.trac.wordpress.org/browser/seo-by-rank-math/trunk/includes/rest/class-shared.php#L64 · Nota
• https://twitter.com/CVEnew/status/1842529708250194037 · Publicação no Twitter
• https://twitter.com/aicyberinsights/status/1843717766580421003 · Publicação no Twitter