PT-2024-15157 · WordPress · Display Custom Fields In The Frontend – Post/User Profile Fields
CVSS v3.1
4.3
Média
| Vetor | AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N |
Nome do software vulnerável e versões afetadas
Plugin “Display custom fields in the frontend – Post and User Profile Fields” para versões do WordPress até a 1.2.1, inclusive
Descrição
A vulnerabilidade permite que invasores autenticados com acesso de nível de colaborador ou superior recuperem metadados de postagens potencialmente confidenciais devido à falta de validação em uma chave controlada pelo usuário no shortcode
vg display data. Isso permite que eles acessem dados aos quais não deveriam ter acesso.Recomendações
Para versões até a 1.2.1, inclusive, atualize para uma versão que inclua a validação necessária para o shortcode
vg display data, a fim de impedir o acesso não autorizado a metadados de postagem.Como solução temporária, considere restringir o acesso ao shortcode
vg display data para usuários com acesso de nível de colaborador e superior até que um patch esteja disponível.Correção
IDOR
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Display Custom Fields In The Frontend – Post/User Profile Fields