PT-2025-1700 · WordPress · Nitropack

Sean Murphy · Publicado 2025-01-15 · Atualizado 2025-01-16 · CVE-2024-11848

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.1

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas Plugin NitroPack para WordPress versões anteriores à 1.17.1

Descrição O problema está relacionado à falta de uma verificação de permissão na ação AJAX 'nitropack dismiss notice forever'. Isso permite que atacantes autenticados com acesso de nível de assinante ou superior atualizem opções arbitrárias para um valor fixo de '1', potencialmente ativando certas opções, como habilitar o registro de usuários, ou modificando opções de maneira que leve a uma condição de negação de serviço.

Recomendações Para versões anteriores à 1.17.1, atualize para a versão 1.17.1 ou posterior para resolver o problema. Como solução temporária, considere restringir o acesso à ação AJAX 'nitropack dismiss notice forever' para prevenir a exploração até que uma correção seja aplicada.

Correção

Missing Authorization

Enumeração de Fraquezas

CWE-862

Identificadores relacionados

CVE-2024-11848

Produtos afetados

Nitropack

Referências · 6

• https://t.me/cvenotify/107454 · Publicação no Telegram
• https://wordfence.com/threat-intel/vulnerabilities/id/1e1b06d0-f348-4a8b-8730-a87d8e2ba2a1?source=cve · Nota
• https://twitter.com/CVEnew/status/1879858774980399243 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2024-11848 · Nota de Segurança
• https://t.me/cvedetector/15437 · Publicação no Telegram
• https://plugins.trac.wordpress.org/changeset/3211235/nitropack · Nota