PT-2025-7341 · WordPress · Disable Auto Updates

Soprobro · Publicado 2025-02-19 · Atualizado 2025-02-19 · CVE-2024-13336

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.3

Média

Vetor base

AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas Plugin Disable Auto Updates para WordPress nas versões até e incluindo a 1.4

Descrição O problema ocorre devido à validação de nonce ausente ou incorreta na página 'disable-auto-updates', tornando possível que atacantes não autenticados desativem todas as atualizações automáticas por meio de uma requisição forjada, caso consigam enganar um administrador do site para realizar uma ação, como clicar em um link.

Recomendações Para versões até e incluindo a 1.4, considere desativar a página 'disable-auto-updates' até que um patch esteja disponível para prevenir a exploração. Como solução alternativa temporária, restrinja o acesso à página 'disable-auto-updates' para minimizar o risco de exploração. Evite utilizar a página até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

CSRF

Enumeração de Fraquezas

CWE-352

Identificadores relacionados

CVE-2024-13336

Produtos afetados

Disable Auto Updates

Referências · 8

• https://twitter.com/VulmonFeeds/status/1892200206805893428 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2024-13336 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2024-13336 · Aviso do Fabricante
• https://wordpress.org/plugins/disable-auto-updates · Nota
• https://wordfence.com/threat-intel/vulnerabilities/id/60413b3b-f9b0-40ca-af0a-f7cf87ab793a?source=cve · Nota
• https://twitter.com/CVEnew/status/1892132852000600505 · Publicação no Twitter
• https://t.me/cvedetector/18419 · Publicação no Telegram
• https://t.me/cvenotify/111743 · Publicação no Telegram