PT-2025-1604 · WordPress · Multiple Page Generator Plugin

Arkadiusz Hydzik · CVE-2024-10705 · Publicado 2025-01-26 · Atualizado 2025-01-26

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.1

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N

Nome do Software Vulnerável e Versões Afetadas Plugin Multiple Page Generator – Plugin MPG para WordPress versões até a 4.0.5 (inclusive)

Descrição A vulnerabilidade permite que atacantes autenticados, com acesso de nível de editor ou superior, efetuem requisições web para locais arbitrários originadas da aplicação web por meio da função mpg download file by link. Isso pode ser utilizado para consultar e modificar informações de serviços internos.

Recomendações Para versões até a 4.0.5 (inclusive), considere desativar a função mpg download file by link como uma solução temporária até que um patch esteja disponível. Restrinja o acesso à funcionalidade do plugin para minimizar o risco de exploração, garantindo que apenas o pessoal necessário tenha acesso de nível de editor ou superior.

Correção

SSRF

Enumeração de Fraquezas

CWE-918

Identificadores relacionados

CVE-2024-10705

Produtos afetados

Multiple Page Generator Plugin

Referências · 9

• https://osv.dev/vulnerability/CVE-2024-10705 · Aviso do Fabricante
• https://twitter.com/VulmonFeeds/status/1883424558058774869 · Publicação no Twitter
• https://t.me/cvedetector/16407 · Publicação no Telegram
• https://twitter.com/CVEnew/status/1883407111159435461 · Publicação no Twitter
• https://t.me/cvenotify/108633 · Publicação no Telegram
• https://wordfence.com/threat-intel/vulnerabilities/id/7b3446e5-ca01-4468-927a-86e951e662ab?source=cve · Nota
• https://twitter.com/WolfgangSesin/status/1883449226870300694 · Publicação no Twitter
• https://plugins.trac.wordpress.org/changeset/3205550/multiple-pages-generator-by-porthas · Correção
• https://nvd.nist.gov/vuln/detail/CVE-2024-10705 · Nota de Segurança