PT-2024-23230 · WordPress · Essential Addons For Elementor
CVSS v3.1
8.8
Alta
| Vetor | AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H |
Nome do software vulnerável e versões afetadas
O plugin Essential Addons for Elementor para o WordPress, nas versões até a 5.9.13, inclusive
Descrição
A vulnerabilidade permite que invasores autenticados com acesso de nível de autor ou superior injetem um objeto PHP por meio da desserialização de entradas não confiáveis do atributo
error resetpassword do widget “Login | Formulário de Registro”. Se houver uma cadeia POP por meio de um plugin ou tema adicional, isso poderia permitir que o invasor exclua arquivos arbitrários, recupere dados confidenciais ou execute código.Recomendações
Para versões até a 5.9.13, inclusive, atualize para uma versão que contenha uma correção para esta vulnerabilidade a fim de impedir a injeção de objeto PHP.
Como solução temporária, considere desativar o widget “Login | Formulário de Registro” até que um patch esteja disponível.
Restrinja o acesso ao atributo
error resetpassword para minimizar o risco de exploração.Correção
Deserialization of Untrusted Data
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Essential Addons For Elementor