PT-2024-39705 · WordPress · Category/Taxonomy Meta Fields

István Márton · Publicado 2024-10-22 · Atualizado 2024-10-25 · CVE-2024-9588

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.4

Média

Vetor base

AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:L

Nome do software vulnerável e versões afetadas

Plugin “Category and Taxonomy Meta Fields” para WordPress, versão 1.0.0 e anteriores

Descrição

O problema está relacionado a Cross-Site Request Forgery devido à falta ou incorreção na validação do nonce na função wpaft option page. Isso permite que invasores não autenticados adicionem e excluam metadados de taxonomia induzindo um administrador do site a realizar uma ação, como clicar em um link.

Recomendações

Para a versão 1.0.0 e anteriores, considere desativar a função wpaft option page até que um patch esteja disponível para impedir a exploração. Restrinja o acesso ao gerenciamento de metadados de taxonomia para minimizar o risco de modificações não autorizadas. Evite usar o plugin afetado até que seja lançada uma versão atualizada que resolva o problema de validação do nonce. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

CSRF

Enumeração de Fraquezas

CWE-352

Identificadores relacionados

CVE-2024-9588

Produtos afetados

Category/Taxonomy Meta Fields

Referências · 7

• https://t.me/cvedetector/8600 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2024-9588 · Aviso do Fabricante
• https://t.me/cvenotify/99059 · Publicação no Telegram
• https://twitter.com/CVEnew/status/1848669998216257891 · Publicação no Twitter
• https://plugins.trac.wordpress.org/browser/wp-custom-taxonomy-meta/trunk/includes/options.php?rev=1196908#L103 · Nota
• https://wordfence.com/threat-intel/vulnerabilities/id/2dc9c744-6ffb-4d7a-94ce-ba576d7b6d47?source=cve · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2024-9588 · Nota de Segurança