PT-2024-19867

CVE-2024-2343

Publicado

2024-04-09

Atualizado

2025-01-31

Descrição por

CVSS 3.1

6.4

Média

MétricasAV:N/AC:L/PR:L/UI:N/S:C/C:L/I:L/A:N

Nome do software vulnerável e versões afetadas

Avada | Construtor de sites para WordPress e tema WooCommerce para versões do WordPress até a 7.11.6, inclusive

Descrição

A vulnerabilidade permite que invasores autenticados com acesso de nível de colaborador ou superior realizem solicitações web para locais arbitrários a partir do aplicativo web. Isso pode ser usado para consultar e modificar informações de serviços internos por meio da função form to url action.

Recomendações

Para o tema Avada | Website Builder For WordPress & WooCommerce para versões do WordPress até a 7.11.6, inclusive, considere desativar a função form to url action até que uma correção esteja disponível para impedir a exploração. Restrinja o acesso a serviços internos para minimizar o risco de consulta e modificação de informações.

Explorabilidade

Exploit

Correção

Impactos

Pesquisadores

Muhammad Zeeshan

Xib3Rr4Dar

Fornecedores

Produtos afetados

Enumeração de fraquezas

CWE-918: Server-Side Request Forgery (SSRF)

Identificadores relacionados