PT-2025-9143 · WordPress · Buddypress Woocommerce My Account Integration

Tieu Pham Trong Nhan · Publicado 2025-03-01 · Atualizado 2025-05-26 · CVE-2024-13358

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.3

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas Versões do plugin BuddyPress WooCommerce My Account Integration até e incluindo a 3.4.24

Descrição O problema está relacionado à falta de uma verificação de capacidade na função wc4bp delete page(), permitindo que atacantes autenticados com acesso de nível de Assinante ou superior atualizem a configuração de página do plugin.

Recomendações Para versões até e incluindo a 3.4.24, atualize para uma versão que inclua uma correção para a verificação de capacidade ausente na função wc4bp delete page(). Como solução temporária, considere restringir o acesso à função wc4bp delete page() para prevenir atualizações não autorizadas na configuração de página do plugin.

Correção

Missing Authorization

Enumeração de Fraquezas

CWE-862

Identificadores relacionados

CVE-2024-13358

Produtos afetados

Buddypress Woocommerce My Account Integration

Referências · 9

• https://twitter.com/cybercronai/status/1896172475450360015 · Publicação no Twitter
• https://plugins.trac.wordpress.org/changeset?sfp_email=&sfph_mail=&reponame=&old=3244145%40wc4bp&new=3244145%40wc4bp&sfp_email=&sfph_mail= · Correção
• https://t.me/cvenotify/112955 · Publicação no Telegram
• https://twitter.com/CVEnew/status/1895982009971085602 · Publicação no Twitter
• https://t.me/cvenotify/123579 · Publicação no Telegram
• https://t.me/cvedetector/19200 · Publicação no Telegram
• https://wordfence.com/threat-intel/vulnerabilities/id/2f526f3c-4e9b-4440-b3c3-8541c1be0ba0?source=cve · Nota
• https://osv.dev/vulnerability/CVE-2024-13358 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2024-13358 · Nota de Segurança