PT-2024-18259 · WordPress · Auto Refresh Single Page
CVSS v3.1
8.8
Alta
| Vetor | AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H |
Nome do software vulnerável e versões afetadas
Plugin Auto Refresh Single Page para versões do WordPress até a 1.1, inclusive
Descrição
A vulnerabilidade permite que invasores autenticados com acesso de nível de colaborador ou superior injetem um objeto PHP por meio da desserialização de entradas não confiáveis da opção meta de postagem
arsp options. Se houver uma cadeia POP por meio de um plugin ou tema adicional instalado no sistema alvo, isso poderia permitir que o invasor exclua arquivos arbitrários, recupere dados confidenciais ou execute código.Recomendações
Para versões até e incluindo a 1.1, considere desativar a deserialização de entradas não confiáveis da opção meta de postagem
arsp options como uma solução temporária até que um patch esteja disponível. Restrinja o acesso à opção meta de postagem arsp options para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.Deserialization of Untrusted Data
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Auto Refresh Single Page