PT-2025-1817 · WordPress · Lazyload Background Images

Kévin Mosbahi + 1 · Publicado 2025-01-07 · Atualizado 2025-01-07 · CVE-2024-12327

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.3

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas Plugin LazyLoad Background Images para WordPress versões até e incluindo a 1.0.7

Descrição O problema surge devido à falta de uma verificação de capacidade na função pblzbg save settings(), permitindo que invasores autenticados com acesso de nível de Assinante (Subscriber) ou superior atualizem as configurações do plugin. Isso possibilita a modificação não autorizada de dados.

Recomendações Para versões até e incluindo a 1.0.7, atualize para uma versão superior à 1.0.7 para resolver o problema. Como medida temporária, considere restringir o acesso à função pblzbg save settings() até que um patch esteja disponível.

Correção

Missing Authorization

Enumeração de Fraquezas

CWE-862

Identificadores relacionados

CVE-2024-12327

Produtos afetados

Lazyload Background Images

Referências · 7

• https://plugins.trac.wordpress.org/browser/lazyload-background-images/trunk/admin/plugin-functions.php#L152 · Nota
• https://twitter.com/VulmonFeeds/status/1876521515870462117 · Publicação no Twitter
• https://plugins.trac.wordpress.org/browser/lazyload-background-images/trunk/admin/plugin-functions.php#L153 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2024-12327 · Nota de Segurança
• https://twitter.com/CVEnew/status/1876487514543783984 · Publicação no Twitter
• https://t.me/cvedetector/14453 · Publicação no Telegram
• https://wordfence.com/threat-intel/vulnerabilities/id/d57fa9f3-b1c0-4601-96d9-178d0dba1332?source=cve · Nota