PT-2025-1769 · WordPress · Viewmedica

Minhtuanact · Publicado 2025-01-07 · Atualizado 2025-01-07 · CVE-2024-12170

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.4

Média

Vetor base

AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:L

Nome do Software Vulnerável e Versões Afetadas Plugin ViewMedica 9 para WordPress, versões até a 1.4.15 (inclusive)

Descrição O problema é devido à validação de nonce ausente ou incorreta na página 'Viewmedica-Admin', tornando possível que atacantes não autenticados injetem consultas SQL arbitrárias via uma requisição forjada. Isso pode ocorrer se um atacante conseguir enganar um administrador do site para realizar uma ação, como clicar em um link.

Recomendações Para versões até a 1.4.15 (inclusive), atualize para uma versão superior à 1.4.15 para resolver o problema. Como solução temporária (workaround), considere restringir o acesso à página 'Viewmedica-Admin' para minimizar o risco de exploração.

Correção

CSRF

Enumeração de Fraquezas

CWE-352

Identificadores relacionados

CVE-2024-12170

Produtos afetados

Viewmedica

Referências · 6

• https://wordfence.com/threat-intel/vulnerabilities/id/58209530-9e68-4d2c-a723-e6a164db7f46?source=cve · Nota
• https://wordpress.org/plugins/viewmedica · Nota
• https://twitter.com/VulmonFeeds/status/1876557356810514868 · Publicação no Twitter
• https://plugins.trac.wordpress.org/changeset?sfp_email=&sfph_mail=&reponame=&old=3227785%40viewmedica&new=3227785%40viewmedica&sfp_email=&sfph_mail= · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2024-12170 · Nota de Segurança
• https://twitter.com/CVEnew/status/1876502062277791929 · Publicação no Twitter