CVE-2024-1315

O plugin “The Classified Listing – Classified ads & Business Directory Plugin” para versões do WordPress até a 3.0.4, inclusive

O problema está relacionado a Cross-Site Request Forgery devido à falta ou incorreção na validação do nonce na função rtcl update user account. Isso permite que invasores não autenticados alterem a senha e o endereço de e-mail do usuário administrador por meio de uma solicitação falsificada, desde que consigam induzir um administrador do site a realizar uma ação. Isso resulta no bloqueio do acesso do administrador ao site, ao mesmo tempo em que concede ao invasor acesso à sua conta.

Para versões até a 3.0.4, inclusive, atualize para uma versão que inclua a correção para o problema de validação do nonce na função rtcl update user account para evitar ataques de falsificação de solicitação entre sites (CSRF). Como solução temporária, considere restringir o acesso à função rtcl update user account até que um patch esteja disponível.