PT-2025-6546 · WordPress · Team Members Showcase Plugin

Abrahack · Publicado 2025-02-15 · Atualizado 2025-02-24 · CVE-2024-13439

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.3

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas O plugin The Team – Team Members Showcase Plugin para WordPress, versões até a 4.4.9 (inclusive)

Descrição O problema está relacionado a acesso não autorizado devido à falta de uma verificação de permissão na função response(). Isso permite que atacantes autenticados com acesso de nível de Assinante ou superior atualizem as configurações do plugin.

Recomendações Para versões até a 4.4.9 (inclusive), considere desabilitar a função response() até que um patch esteja disponível para prevenir acesso não autorizado. Como medida temporária, restrinja o acesso às configurações do plugin para minimizar o risco de exploração.

Correção

Missing Authorization

Enumeração de Fraquezas

CWE-862

Identificadores relacionados

CVE-2024-13439

Produtos afetados

Team Members Showcase Plugin

Referências · 11

• https://plugins.trac.wordpress.org/changeset/3239948/tlp-team/trunk/app/Controllers/Admin/Ajax/Skill.php · Correção
• https://nvd.nist.gov/vuln/detail/CVE-2024-13439 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2024-13439 · Aviso do Fabricante
• https://t.me/cvedetector/18171 · Publicação no Telegram
• https://t.me/cvenotify/112230 · Publicação no Telegram
• https://plugins.trac.wordpress.org/changeset?sfp_email=&sfph_mail=&reponame=&old=3239948%40tlp-team&new=3239948%40tlp-team&sfp_email=&sfph_mail= · Correção
• https://twitter.com/CVEnew/status/1890726789280137260 · Publicação no Twitter
• https://plugins.trac.wordpress.org/changeset/3239948/tlp-team/trunk/app/Controllers/Admin/Ajax/Settings.php · Correção
• https://t.me/cvenotify/111496 · Publicação no Telegram
• https://wordfence.com/threat-intel/vulnerabilities/id/46951d8d-f8f1-4fb5-b02a-1a19edd154e6?source=cve · Nota
• https://plugins.svn.wordpress.org/tlp-team/tags/4.4.7/app/Controllers/Admin/Ajax/Settings.php · Nota