CVE-2024-0768

O plugin “Envo's Elementor Templates & Widgets for WooCommerce” para o WordPress, nas versões até e incluindo a 1.4.4

O problema se deve à falta ou incorreção da validação de nonce na função ajax theme activation, possibilitando que invasores não autenticados ativem temas instalados arbitrariamente por meio de uma solicitação falsificada. Isso pode ocorrer se um invasor conseguir induzir um administrador do site a realizar uma ação, como clicar em um link.

Para versões até e incluindo a 1.4.4, atualize para uma versão que inclua a correção para a validação de nonce ausente ou incorreta na função ajax theme activation.

Como solução temporária, considere desativar a função ajax theme activation até que um patch esteja disponível.