PT-2024-9606 · WordPress · Hunk Companion

Daniel Rodriguez · Publicado 2024-12-10 · Atualizado 2025-11-01 · CVE-2024-11972

Positive Technologies (AI Summary) · Pt

CVSS v2.0

10

Crítica

Vetor base

AV:N/AC:L/Au:N/C:C/I:C/A:C

Nome do software vulnerável e versões afetadas

Versões do plugin Hunk Companion para WordPress anteriores à 1.9.0

Descrição

O plugin Hunk Companion para WordPress não autoriza adequadamente determinados pontos de extremidade da API REST, permitindo que solicitações não autenticadas instalem e ativem plugins arbitrários do repositório do WordPress.org, incluindo plugins vulneráveis. Esta vulnerabilidade está sendo ativamente explorada, afetando mais de 10.000 sites. A exploração bem-sucedida pode levar à execução remota de código (RCE), injeção de SQL e backdoors administrativos. A vulnerabilidade permite que invasores instalem plugins vulneráveis silenciosamente. Os pontos de extremidade da API vulneráveis não são explicitamente especificados, mas a vulnerabilidade está relacionada à autorização de solicitações para instalar plugins.

Recomendações

Atualize o plugin Hunk Companion para WordPress para a versão 1.9.0 ou posterior.

Exploit

Correção

Missing Authorization

Enumeração de Fraquezas

CWE-862

Identificadores relacionados

BDU:2024-11316

CVE-2024-11972

Produtos afetados

Hunk Companion

Referências · 55

• 🔥 https://wpscan.com/vulnerability/4963560b-e4ae-451d-8f94-482779c415e4 · Exploit
• 🔥 https://github.com/JunTakemura/exploit-CVE-2024-11972 · Exploit
• 🔥 https://exploit-db.com/exploits/52259 · Exploit
• https://securityonline.info/active-exploitation-observed-for-cve-2024-11972-cvss-9-8-wordpress-plugin-flaw-exposes-10000-sites-to-backdoor-attacks · Nota
• https://twitter.com/pinakinit1/status/1869744545178771790 · Publicação no Twitter
• https://twitter.com/SoBatistaCyber/status/1867183620730814490 · Publicação no Twitter
• https://twitter.com/pdnuclei/status/1960885106165305609 · Publicação no Twitter
• https://twitter.com/focalpointsprl/status/1867517322300211545 · Publicação no Twitter
• https://t.me/netlas/496 · Publicação no Telegram
• https://t.me/avleonovcom/1495 · Publicação no Telegram
• https://t.me/zerodayalert/410 · Publicação no Telegram
• https://reddit.com/r/CyberAlertFR/comments/1hdhm91/critical_wordpress_hunk_companion_plugin · Publicação no Reddit
• https://wordfence.com/blog/2025/10/mass-exploit-campaign-targeting-arbitrary-plugin-installation-vulnerabilities · Nota
• https://twitter.com/riskigy/status/1867375138502586414 · Publicação no Twitter
• https://twitter.com/redfoxsec/status/1867207831125938376 · Publicação no Twitter