PT-2025-2121 · WordPress · Spexo Addons For Elementor

Tieu Pham Trong Nhan · Publicado 2025-01-24 · Atualizado 2025-02-05 · CVE-2024-13335

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.3

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas Spexo Addons for Elementor – Plugin de Addons, Widgets e Templates Gratuitos do Elementor para WordPress, versões até a 1.0.14 inclusive

Descrição O problema está relacionado a uma verificação de permissão ausente na função tmpcoder theme install func(), permitindo que atacantes autenticados com acesso de nível de Assinante ou superior instalem um tema. Isso possibilita acesso não autorizado ao sistema.

Recomendações Para versões até a 1.0.14 inclusive, atualize para uma versão superior à 1.0.14 para resolver o problema. Como solução temporária, considere restringir o acesso à função tmpcoder theme install func() até que uma correção esteja disponível. Além disso, restrinja as capacidades de instalação de temas apenas a usuários autorizados para minimizar o risco de exploração.

Correção

Missing Authorization

Enumeração de Fraquezas

CWE-862

Identificadores relacionados

CVE-2024-13335

Produtos afetados

Spexo Addons For Elementor

Referências · 8

• https://osv.dev/vulnerability/CVE-2024-13335 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2024-13335 · Nota de Segurança
• https://twitter.com/VulmonFeeds/status/1882807171580121592 · Publicação no Twitter
• https://t.me/cvenotify/108464 · Publicação no Telegram
• https://t.me/cvenotify/110057 · Publicação no Telegram
• https://twitter.com/CVEnew/status/1882748354502779085 · Publicação no Twitter
• https://plugins.trac.wordpress.org/changeset/3227353/sastra-essential-addons-for-elementor/trunk/inc/wizard/wizard-ajax-api.php · Correção
• https://wordfence.com/threat-intel/vulnerabilities/id/4edc7ef9-33db-4433-8ef2-cd06089ee8d5?source=cve · Nota