PT-2025-2135 · WordPress · Sandbox

Stiofan + 1 · Publicado 2025-01-17 · Atualizado 2025-01-17 · CVE-2024-13367

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.5

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N

Nome do Software Vulnerável e Versões Afetadas O plugin The Sandbox para WordPress, versões até e incluindo a 0.4

Descrição O problema origina-se da falta de uma verificação de permissão na ação export download, permitindo que atacantes autenticados com acesso de nível de Assinante ou superior baixem uma cópia completa de um ambiente de sandbox. Este ambiente pode conter informações sensíveis, como o arquivo wp-config.php.

Recomendações Para versões até e incluindo a 0.4, considere desativar a ação export download até que um patch esteja disponível para prevenir acesso não autorizado. Restrinja o acesso ao ambiente de sandbox para minimizar o risco de exploração. Evite usar a ação export download no plugin afetado até que o problema seja resolvido.

Correção

Missing Authorization

Enumeração de Fraquezas

CWE-862

Identificadores relacionados

CVE-2024-13367

Produtos afetados

Sandbox

Referências · 6

• https://t.me/cvedetector/15684 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2024-13367 · Nota de Segurança
• https://plugins.trac.wordpress.org/browser/sandbox/trunk/sandbox-ajax.php#L21 · Nota
• https://twitter.com/VulmonFeeds/status/1880176444204028114 · Publicação no Twitter
• https://wordfence.com/threat-intel/vulnerabilities/id/59880d92-5d75-432f-9fb5-d74b13d101ff?source=cve · Nota
• https://twitter.com/CVEnew/status/1880248068676940005 · Publicação no Twitter