Hwpark6804-Gif

**Nome do Software Vulnerável e Versões Afetadas** FaustWP versões anteriores a 1.8.11 **Descrição** O plugin FaustWP para WordPress falha ao não incluir o vetor de inicialização de 16 bytes no HMAC (Hash-based Message Authentication Code, um mecanismo para verificar a integridade dos dados) dentro das funções `encrypt()` e `decrypt()`. Um usuário autenticado sem privilégios de administrador pode obter um código de autorização através do endpoint 'GET /generate' e modificar o vetor de inicialização não autenticado. Isso permite que o invasor manipule o tipo de token e o identificador do usuário durante a decriptação CBC (Cipher Block Chaining) enquanto o HMAC permanece válido. Consequentemente, um invasor pode gerar um token de acesso de Administrador, resultando em acesso total à API REST do WordPress, criação de contas de administrador, instalação de plugins e execução de código arbitrário. **Recomendações** Atualizar para a versão 1.8.11.