PT-2024-39711 · WordPress · Amp For Wp – Accelerated Mobile Pages
Batfeats
+1
·
Publicado
2024-10-25
·
Atualizado
2024-10-25
·
CVE-2024-9598
CVSS v3.1
8.8
Alta
| Vetor | AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H |
Nome do software vulnerável e versões afetadas
Plugin AMP for WP – Accelerated Mobile Pages para o WordPress, versões até e incluindo a 1.0.99.1
Descrição
O problema está relacionado a Cross-Site Request Forgery devido à falta ou à validação incorreta do nonce na função
proxy. Isso permite que invasores não autenticados enviem os cookies do usuário conectado para seu próprio servidor por meio de uma solicitação falsificada, caso consigam induzir um administrador do site a realizar uma ação, como clicar em um link.Recomendações
Para versões até e incluindo a 1.0.99.1, considere desativar a função
proxy até que um patch esteja disponível para impedir a exploração. Restrinja o acesso à função proxy para minimizar o risco de envio dos cookies do usuário conectado para servidores não autorizados. Evite usar a função proxy em situações em que um administrador do site possa ser induzido a realizar uma ação que possa levar a uma solicitação falsificada.Correção
CSRF
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Amp For Wp – Accelerated Mobile Pages