CVE-2021-24170

**Nome do software vulnerável e versões afetadas:

Versões do plugin User Profile Picture para WordPress anteriores à 2.5.0

Descrição:

O problema diz respeito ao endpoint da API REST “get users” no plugin User Profile Picture do WordPress, que retornava informações excessivas a usuários com a capacidade upload files. Isso incluía dados confidenciais, como hashes de senhas, chaves de ativação de usuário com hash, usernames, emails e outras informações menos confidenciais.

Recomendações:

Para versões anteriores à 2.5.0, atualize para a versão 2.5.0 ou posterior para resolver o problema. Como solução temporária, considere restringir o acesso ao endpoint da API “get users” para minimizar o risco de exploração. Evite usar a capacidade upload files para usuários que não a necessitem até que o problema seja resolvido.