PT-2024-39836 · WordPress · Imagepress

Michelle Porter

·

Publicado

2024-10-12

·

Atualizado

2024-11-25

·

CVE-2024-9778

CVSS v3.1

4.3

Média

VetorAV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N
Nome do software vulnerável e versões afetadas
ImagePress – plugin de galeria de imagens para o WordPress, versões até a 1.2.2, inclusive
Descrição
O problema se deve à falta ou à validação incorreta do nonce na função imagepress admin page, possibilitando que invasores não autenticados atualizem as configurações do plugin, incluindo URLs de redirecionamento, por meio de uma solicitação falsificada. Isso pode ocorrer se um invasor conseguir induzir um administrador do site a realizar uma ação, como clicar em um link.
Recomendações
Para versões até a 1.2.2, inclusive, considere desativar a função imagepress admin page até que um patch esteja disponível para impedir a exploração. Restrinja o acesso às configurações do plugin para minimizar o risco de atualizações não autorizadas. Evite usar o plugin até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

CSRF

Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
dbugs@ptsecurity.com

Enumeração de Fraquezas

CWE-352

Identificadores relacionados

CVE-2024-9778

Produtos afetados

Imagepress