PT-2025-1781 · WordPress · Backup/Restore Wordpress – Backup Plugin

CVE-2024-12208 · Publicado 2025-01-07 · Atualizado 2025-01-17

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.3

Média

Vetor base

AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas Backup and Restore WordPress – Plugin de Backup versões até a 1.50

Descrição O problema está relacionado a Falsificação de Solicitação entre Sites (Cross-Site Request Forgery), que é possível devido à validação de nonce ausente ou incorreta na função ajax queue manual backup(). Isso permite que atacantes não autenticados acionem backups por meio de uma solicitação forjada, se conseguirem enganar um administrador do site para realizar uma ação, como clicar em um link.

Recomendações Para versões até a 1.50, considere desativar a função ajax queue manual backup() até que um patch esteja disponível para prevenir a exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

CSRF

Enumeração de Fraquezas

CWE-352

Identificadores relacionados

CVE-2024-12208

Produtos afetados

Backup/Restore Wordpress – Backup Plugin

Referências · 6

• https://twitter.com/VulmonFeeds/status/1876549676440137822 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2024-12208 · Nota de Segurança
• https://wordfence.com/threat-intel/vulnerabilities/id/e461a04b-6456-4930-b3e7-0f808825aa6b?source=cve · Nota
• https://t.me/cvedetector/14462 · Publicação no Telegram
• https://wordpress.org/plugins/wp-backitup · Nota
• https://twitter.com/CVEnew/status/1876487512119496757 · Publicação no Twitter