PT-2025-2178 · WordPress · The Contact Form By Bit Form

Francesco Carlucci · Publicado 2025-01-25 · Atualizado 2025-02-04 · CVE-2024-13450

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.5

Média

Vetor base

AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:N

Nome do Software Vulnerável e Versões Afetadas O plugin The Contact Form by Bit Form para WordPress, versões até e incluindo a 2.17.4

Descrição O problema está relacionado à Falsificação de Solicitação do Lado do Servidor (SSRF), que pode ser explorada via integração de Webhooks. Isso permite que atacantes autenticados com acesso de nível de Administrador ou superior façam solicitações web para locais arbitrários, potencialmente consultando e modificando serviços internos. O problema também pode ser explorado em ambientes Multisite.

Recomendações Para versões até e incluindo a 2.17.4, considere desativar a integração de Webhooks como uma solução temporária até que uma correção esteja disponível. Restrinja o acesso à funcionalidade de Webhooks para minimizar o risco de exploração. Evite usar a integração de Webhooks em ambientes Multisite até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

SSRF

Enumeração de Fraquezas

CWE-918

Identificadores relacionados

CVE-2024-13450

Produtos afetados

The Contact Form By Bit Form

Referências · 14

• https://plugins.trac.wordpress.org/browser/bit-form/trunk/includes/Core/Integration/WebHooks/WebHooksHandler.php#L51 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2024-13450 · Nota de Segurança
• https://twitter.com/CVEnew/status/1883074909590413718 · Publicação no Twitter
• https://plugins.trac.wordpress.org/browser/bit-form/trunk/includes/Core/Integration/WebHooks/WebHooksHandler.php#L96 · Nota
• https://wordfence.com/threat-intel/vulnerabilities/id/d935f4c5-5d69-42d9-be22-7a44d9aa885a?source=cve · Nota
• https://t.me/cvenotify/110000 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2024-13450 · Aviso do Fabricante
• https://plugins.trac.wordpress.org/browser/bit-form/trunk/includes/Core/Integration/WebHooks/WebHooksHandler.php#L190 · Nota
• https://t.me/cvedetector/16384 · Publicação no Telegram
• https://plugins.trac.wordpress.org/changeset/3227207 · Nota
• https://plugins.trac.wordpress.org/browser/bit-form/trunk/includes/Admin/Form/AdminFormHandler.php#L1072 · Nota
• https://t.me/cvenotify/108604 · Publicação no Telegram
• https://plugins.trac.wordpress.org/browser/bit-form/trunk/includes/Admin/Form/AdminFormHandler.php#L1312 · Nota
• https://twitter.com/VulmonFeeds/status/1883124741025722413 · Publicação no Twitter