CVE-2024-11419

Plugin Password for WP para versões do WordPress até a 1.3, inclusive

O problema se deve à falta ou à incorreção da validação do nonce na função get3 init admin page(), permitindo que invasores não autenticados atualizem configurações e injetem scripts maliciosos na web por meio de uma solicitação falsificada. Isso pode ocorrer se um invasor conseguir induzir um administrador do site a realizar uma ação, como clicar em um link.

Para versões até a 1.3, inclusive, considere desativar a função get3 init admin page() até que um patch esteja disponível para impedir a exploração. Restrinja o acesso às configurações do plugin para minimizar o risco de atualizações não autorizadas. Evite usar o plugin até que o problema seja resolvido.