CVE-2020-36840

O plugin “Timetable and Event Schedule by MotoPress” para o WordPress, nas versões até a 2.3.8, inclusive

O problema está relacionado à falta de uma verificação de permissão na função wp ajax route url(), chamada por meio de uma ação AJAX nopriv. Isso permite que invasores não autenticados chamem a função e realizem várias ações, incluindo a inclusão de modelos aleatórios e a injeção de scripts web maliciosos.

Para versões até a 2.3.8, inclusive, atualize para a versão mais recente para mitigar os riscos. Como solução temporária, considere restringir o acesso à função wp ajax route url() até que um patch esteja disponível. Além disso, certifique-se de que todos os plugins estejam atualizados para minimizar o risco de exploração.