CVE-2024-1050

Plugin para importação e exportação de usuários e clientes para versões do WordPress até a 1.26.5, inclusive

O problema está relacionado à falta de uma verificação de permissão na função ajax force reset password delete metas(), permitindo que invasores autenticados com acesso de nível de assinante ou superior excluam todas as redefinições forçadas de senha. Isso possibilita a modificação não autorizada de dados.

Para versões até a 1.26.5, inclusive, atualize o plugin para uma versão superior à 1.26.5 para resolver o problema. Como solução temporária, considere desativar a função ajax force reset password delete metas() até que um patch esteja disponível. Restrinja o acesso às funcionalidades do plugin para minimizar o risco de exploração. Verifique as contas de usuário em busca de atividades suspeitas após atualizar o plugin.