PT-2025-1712 · WordPress · Activity Plus Reloaded

Francesco Carlucci · Publicado 2025-01-24 · Atualizado 2025-02-04 · CVE-2024-11913

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.4

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas Plugin Activity Plus Reloaded for BuddyPress para WordPress, versões 1.1.1 e anteriores

Descrição A falha permite que invasores autenticados com acesso de nível de Assinante (Subscriber) ou superior façam requisições web para locais arbitrários originadas da aplicação web. Isso pode ser usado para consultar e modificar informações de serviços internos por meio da função ajax preview link.

Recomendações Para as versões 1.1.1 e anteriores, como solução temporária, considere desativar a função ajax preview link até que uma correção esteja disponível. Atualmente, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

SSRF

Enumeração de Fraquezas

CWE-918

Identificadores relacionados

CVE-2024-11913

Produtos afetados

Activity Plus Reloaded

Referências · 9

• https://t.me/cvenotify/108477 · Publicação no Telegram
• https://t.me/cvenotify/109971 · Publicação no Telegram
• https://twitter.com/CVEnew/status/1882788053510393970 · Publicação no Twitter
• https://wordfence.com/threat-intel/vulnerabilities/id/69485409-8e91-4651-b9b8-69beb2364fa8?source=cve · Nota
• https://t.me/cvedetector/16277 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2024-11913 · Nota de Segurança
• https://twitter.com/VulmonFeeds/status/1882817414439604513 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2024-11913 · Aviso do Fabricante
• https://plugins.trac.wordpress.org/browser/bp-activity-plus-reloaded/tags/1.1.2/src/handlers/class-bpapr-preview-handler.php · Nota