PT-2025-2263 · WordPress · Cp Contact Form With Paypal

Krzysztof Zając · CVE-2024-13758 · Publicado 2025-01-30 · Atualizado 2025-01-30

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.5

Média

Vetor base

AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N

Nome do Software Vulnerável e Versões Afetadas Plugin CP Contact Form with PayPal para WordPress, versões até e incluindo a 1.3.52

Descrição O problema ocorre devido à validação de nonce ausente ou incorreta na função cp contact form paypal check init actions(). Isso permite que atacantes não autenticados adicionem códigos de desconto por meio de uma requisição forjada, desde que consigam enganar um administrador do site para realizar uma ação, como clicar em um link.

Recomendações Para versões até e incluindo a 1.3.52, atualize para uma versão superior à 1.3.52 para resolver o problema. Como solução temporária, considere restringir o acesso à função cp contact form paypal check init actions() até que um patch esteja disponível.

Correção

CSRF

Enumeração de Fraquezas

CWE-352

Identificadores relacionados

CVE-2024-13758

Produtos afetados

Cp Contact Form With Paypal

Referências · 11

• https://t.me/cvedetector/16755 · Publicação no Telegram
• https://wordfence.com/threat-intel/vulnerabilities/id/495183b6-dc7c-4ff7-bc99-fc05a10d1269?source=cve · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2024-13758 · Nota de Segurança
• https://plugins.trac.wordpress.org/browser/cp-contact-form-with-paypal/trunk/cp_contactformpp_functions.php#L616 · Nota
• https://twitter.com/CVEnew/status/1884886837858070804 · Publicação no Twitter
• https://t.me/cvenotify/109133 · Publicação no Telegram
• https://twitter.com/WolfgangSesin/status/1884926900201517264 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2024-13758 · Aviso do Fabricante
• https://plugins.trac.wordpress.org/changeset/3230873 · Correção
• https://twitter.com/VulmonFeeds/status/1884897118285943127 · Publicação no Twitter
• https://wordpress.org/plugins/cp-contact-form-with-paypal/#developers · Nota