PT-2025-1828 · WordPress · Wp Abstracts

Dale Mavers + 1 · Publicado 2025-01-18 · Atualizado 2025-02-25 · CVE-2024-12385

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.1

Média

Vetor base

AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas Plugin WP Abstracts para WordPress nas versões até e incluindo a 2.7.2

Descrição O problema deve-se à falta de validação de nonce nas funções wpabstracts load status() e wpabstracts delete abstracts(), tornando possível que atacantes não autenticados injetem scripts web maliciosos por meio de uma requisição forjada. Isso pode ocorrer se um atacante conseguir enganar um administrador do site para realizar uma ação, como clicar em um link.

Recomendações Para o plugin WP Abstracts para WordPress nas versões até e incluindo a 2.7.2, considere desabilitar as funções wpabstracts load status() e wpabstracts delete abstracts() até que um patch esteja disponível para prevenir a exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

CSRF

Enumeração de Fraquezas

CWE-352

Identificadores relacionados

CVE-2024-12385

Produtos afetados

Wp Abstracts

Referências · 12

• https://plugins.trac.wordpress.org/browser/wp-abstracts-manuscripts-manager/trunk/abstracts/abstracts.manage.php#L148 · Nota
• https://wordpress.org/plugins/wp-abstracts-manuscripts-manager/#developers · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2024-12385 · Nota de Segurança
• https://t.me/cvenotify/112485 · Publicação no Telegram
• https://plugins.trac.wordpress.org/browser/wp-abstracts-manuscripts-manager/trunk/abstracts/abstracts.manage.php#L205 · Nota
• https://twitter.com/CVEnew/status/1880625630104125780 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2024-12385 · Aviso do Fabricante
• https://twitter.com/VulmonFeeds/status/1880550319869878369 · Publicação no Twitter
• https://t.me/cvedetector/15796 · Publicação no Telegram
• https://plugins.trac.wordpress.org/changeset/3223874 · Correção
• https://t.me/cvenotify/107854 · Publicação no Telegram
• https://wordfence.com/threat-intel/vulnerabilities/id/79af711e-d044-447e-9802-8be648a3843d?source=cve · Nota