PT-2024-39737 · WordPress · Wp Ulike
Bilal Chawich
+1
·
Publicado
2024-10-15
·
Atualizado
2024-10-16
·
CVE-2024-9649
CVSS v3.1
4.3
Média
| Vetor | AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N |
Nome do software vulnerável e versões afetadas
Plugin WP ULike – The Ultimate Engagement Toolkit for Websites para versões do WordPress até a 4.7.4, inclusive
Descrição
O problema é uma vulnerabilidade de falsificação de solicitação entre sites (Cross-Site Request Forgery) devido à falta ou à validação incorreta do nonce na função
wp ulike delete history api(). Isso permite que invasores não autenticados excluam interações por meio de uma solicitação falsificada, caso consigam induzir um administrador do site a realizar uma ação, como clicar em um link.Recomendações
Para versões até a 4.7.4, inclusive, considere desativar a função
wp ulike delete history api() até que um patch esteja disponível para impedir a exploração. Restrinja o acesso às funcionalidades do plugin para minimizar o risco de exploração. Evite usar o plugin até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.CSRF
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Wp Ulike