CVE-2019-20360

Versões anteriores à 2.5.5

Uma falha no plugin Give para WordPress permitia que usuários não autenticados contornassem os métodos de autenticação da API, acessando informações de identificação pessoal (PII), incluindo nomes, endereços, endereços IP e endereços de e-mail. Ao definir uma chave de API para qualquer valor de meta-chave da tabela wp usermeta e o token para o hash MD5 correspondente da meta-chave selecionada, um invasor poderia fazer uma solicitação a pontos de extremidade restritos, acessando assim dados confidenciais de doadores.

Para versões anteriores à 2.5.5, atualize para a versão 2.5.5 ou posterior para resolver o problema. Como solução temporária, considere restringir o acesso à tabela wp usermeta e aos pontos de extremidade da API afetados até que a atualização seja aplicada. Evite usar o valor da meta-chave da tabela wp usermeta como chave de API até que o problema seja resolvido.