PT-2025-1910 · WordPress · Ai Scribe

Dhabaleshwar Das · Publicado 2025-01-09 · Atualizado 2025-01-09 · CVE-2024-12605

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.3

Média

Vetor base

AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas Plugin AI Scribe para WordPress versões até e incluindo a 2.3

Descrição O problema está relacionado à Falsificação de Solicitação Entre Sites (Cross-Site Request Forgery) devido à validação de nonce ausente ou incorreta nas ações al scribe content data. Isso permite que atacantes não autenticados atualizem as configurações do plugin por meio de uma solicitação forjada, caso consigam induzir um administrador do site a realizar uma ação, como clicar em um link.

Recomendações Para versões até e incluindo a 2.3, atualize para uma versão que inclua a correção para o problema de validação de nonce nas ações al scribe content data. Como solução temporária, considere restringir o acesso às configurações do plugin para minimizar o risco de exploração.

Correção

CSRF

Enumeração de Fraquezas

CWE-352

Identificadores relacionados

CVE-2024-12605

Produtos afetados

Ai Scribe

Referências · 7

• https://twitter.com/CVEnew/status/1877315763628879913 · Publicação no Twitter
• https://plugins.trac.wordpress.org/browser/ai-scribe-the-chatgpt-powered-seo-content-creation-wizard/trunk/article_builder.php#L713 · Nota
• https://t.me/cvedetector/14837 · Publicação no Telegram
• https://plugins.trac.wordpress.org/changeset/3308461 · Nota
• https://wordfence.com/threat-intel/vulnerabilities/id/52a8718f-2c4d-4da1-a81f-e93dff3fa43b?source=cve · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2024-12605 · Nota de Segurança
• https://twitter.com/VulmonFeeds/status/1877446100321264119 · Publicação no Twitter