CVE-2024-1361

Plugin Colibri Page Builder para o WordPress, versões até a 1.0.253, inclusive

O problema se deve à falta ou à validação incorreta do nonce na função apiCall(), possibilitando que invasores não autenticados chamem um conjunto limitado de funções. Essas funções podem ser usadas para importar imagens, excluir publicações ou salvar dados de temas por meio de uma solicitação falsificada, desde que consigam induzir um administrador do site a realizar uma ação, como clicar em um link.

Para o plugin Colibri Page Builder para versões do WordPress até e incluindo a 1.0.253, considere desativar a função apiCall() até que um patch esteja disponível para impedir a exploração. Restrinja o acesso a funções confidenciais que possam ser chamadas por meio da função apiCall() para minimizar o risco de ações não autorizadas.