PT-2025-1895 · WordPress · Clickdesigns

Ryan Zegar · Publicado 2025-01-07 · Atualizado 2025-01-07 · CVE-2024-12559

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.3

Média

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas Plugin ClickDesigns para WordPress versões até a 1.8.0, inclusive

Descrição A vulnerabilidade permite a modificação não autorizada de dados devido à ausência de uma verificação de capacidade nas funções clickdesigns add api e clickdesigns remove api. Isso possibilita que atacantes não autenticados modifiquem ou removam a chave de API do plugin.

Recomendações Para versões até a 1.8.0, inclusive, atualize para uma versão que inclua uma correção para a ausência de verificação de capacidade nas funções clickdesigns add api e clickdesigns remove api. Como medida temporária, considere desativar as funções clickdesigns add api e clickdesigns remove api até que um patch esteja disponível. Restrinja o acesso à chave de API para minimizar o risco de exploração.

Correção

Missing Authorization

Enumeração de Fraquezas

CWE-862

Identificadores relacionados

CVE-2024-12559

Produtos afetados

Clickdesigns

Referências · 8

• https://twitter.com/VulmonFeeds/status/1876490781478777111 · Publicação no Twitter
• https://plugins.trac.wordpress.org/browser/clickdesigns/tags/1.8.0/includes/clickdesigns-ajax.php#L64 · Nota
• https://twitter.com/CVEnew/status/1876476552298336312 · Publicação no Twitter
• https://t.me/cvedetector/14431 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2024-12559 · Nota de Segurança
• https://wordfence.com/threat-intel/vulnerabilities/id/c1d19968-dbd8-4433-99a7-b973a59c4653?source=cve · Nota
• https://plugins.trac.wordpress.org/changeset/3232040/clickdesigns/trunk/includes/clickdesigns-ajax.php · Nota
• https://plugins.trac.wordpress.org/browser/clickdesigns/tags/1.8.0/includes/clickdesigns-ajax.php#L79 · Nota