PT-2025-6528 · WordPress · Carspot

Lucio Sá · Publicado 2025-02-18 · Atualizado 2025-03-03 · CVE-2024-12860

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas CarSpot – Tema de Classificados para Concessionárias Wordpress versões até a 2.4.3

Descrição O problema diz respeito a uma vulnerabilidade de escalonamento de privilégios via tomada de conta. Esta vulnerabilidade ocorre devido à falha do plugin em validar corretamente um token antes de atualizar a senha de um usuário. Como resultado, atacantes não autenticados podem alterar as senhas de quaisquer usuários, incluindo administradores, obtendo assim acesso às suas contas.

Recomendações Para versões até a 2.4.3, atualize para uma versão posterior à 2.4.3 para resolver o problema. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

LPE

Enumeração de Fraquezas

CWE-620

Identificadores relacionados

CVE-2024-12860

Produtos afetados

Carspot

Referências · 12

• https://twitter.com/taqtics_ai/status/1896668119126487134 · Publicação no Twitter
• https://twitter.com/cracbot/status/1893616879685804199 · Publicação no Twitter
• https://themeforest.net/item/carspot-automotive-car-dealer-wordpress-classified-theme/20195539 · Nota
• https://twitter.com/VulmonFeeds/status/1891826511247790393 · Publicação no Twitter
• https://twitter.com/DarkWebInformer/status/1891935032933032398 · Publicação no Twitter
• https://t.me/thedarkwebinformer/12834 · Publicação no Telegram
• https://t.me/cvedetector/18298 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2024-12860 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2024-12860 · Nota de Segurança
• https://twitter.com/CVEnew/status/1891770277010325600 · Publicação no Twitter
• https://twitter.com/CveFindCom/status/1891767925872239010 · Publicação no Twitter
• https://wordfence.com/threat-intel/vulnerabilities/id/d1043dce-628f-485b-bc1c-b78938c2a6f5?source=cve · Nota