CVE-2024-1592

O plugin Complianz – GDPR/CCPA Cookie Consent para o WordPress, versões até a 6.5.6, inclusive

O problema está relacionado a uma falha de falsificação de solicitação entre sites (Cross-Site Request Forgery), devido à falta ou à validação incorreta do nonce na função process delete no arquivo class-DNSMPD.php. Isso permite que invasores não autenticados excluam solicitações de dados do GDPR por meio de uma solicitação falsificada, caso consigam induzir um administrador do site a realizar uma ação, como clicar em um link.

Para versões até a 6.5.6, inclusive, considere desativar a função process delete no arquivo class-DNSMPD.php como uma solução temporária até que um patch esteja disponível. Restrinja o acesso ao componente class-DNSMPD.php para minimizar o risco de exploração. Evite usar a função process delete até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.