PT-2024-15629 · WordPress · The Royal Elementor Addons/Templates
CVSS v3.1
4.3
Média
| Vetor | AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N |
Nome do software vulnerável e versões afetadas
O plugin Royal Elementor Addons and Templates para o WordPress, versões até a 1.3.87, inclusive
Descrição
O problema está relacionado a Cross-Site Request Forgery devido à validação de nonce ausente ou incorreta na função
remove from wishlist. Isso permite que invasores não autenticados removam itens das listas de desejos dos usuários por meio de uma solicitação falsificada, desde que consigam induzir um administrador do site a realizar uma ação, como clicar em um link.Recomendações
Para versões até a 1.3.87, inclusive, atualize para uma versão que inclua a correção para a validação de nonce ausente ou incorreta na função
remove from wishlist.Como solução temporária, considere restringir o acesso à função
remove from wishlist até que um patch esteja disponível.Correção
CSRF
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
The Royal Elementor Addons/Templates