PT-2025-14844 · WordPress · Tagdiv Composer

Michael Mazzolini · Publicado 2025-04-04 · Atualizado 2025-04-09 · CVE-2024-13645

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas Plugin tagDiv Composer para WordPress versões até e incluindo a 5.3

Descrição O problema permite que atacantes não autenticados instanciem um objeto PHP através do parâmetro module. Esta vulnerabilidade não tem impacto a menos que outro plugin ou tema contendo uma cadeia POP esteja instalado no site. Se uma cadeia POP estiver presente, ela pode permitir que o atacante realize ações como excluir arquivos arbitrários, recuperar dados sensíveis ou executar código, dependendo da cadeia POP presente.

Recomendações Para versões até e incluindo a 5.3, considere desativar o parâmetro module para minimizar o risco de exploração até que um patch esteja disponível. Restrinja o acesso a dados e arquivos sensíveis para prevenir danos potenciais caso uma cadeia POP esteja presente via outro plugin ou tema.

Correção

Code Injection

Enumeração de Fraquezas

CWE-94

Identificadores relacionados

CVE-2024-13645

Produtos afetados

Tagdiv Composer

Referências · 10

• https://tagdiv.com/tagdiv-composer-page-builder-basics · Nota
• https://t.me/cvedetector/22101 · Publicação no Telegram
• https://wordfence.com/threat-intel/vulnerabilities/id/4124003c-4864-48f1-acba-9a613d9c99ae?source=cve · Nota
• https://t.me/cvetracker/20781 · Publicação no Telegram
• https://twitter.com/cracbot/status/1909924355980542129 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2024-13645 · Nota de Segurança
• https://twitter.com/VulmonFeeds/status/1908111837784154145 · Publicação no Twitter
• https://twitter.com/CveFindCom/status/1908037483645833227 · Publicação no Twitter
• https://twitter.com/CVEnew/status/1908072012657860683 · Publicação no Twitter
• https://t.me/cvenotify/117694 · Publicação no Telegram