CVE-2024-3813

Plugin tagDiv Composer para o WordPress, versões até a 4.8, inclusive

A vulnerabilidade permite que invasores autenticados com permissões de nível de colaborador ou superior incluam e executem arquivos arbitrários no servidor por meio do atributo ‘block template id’ do shortcode ‘td block title’. Isso possibilita a execução de qualquer código PHP nesses arquivos, o que pode ser usado para contornar controles de acesso, obter dados confidenciais ou executar código em casos em que tipos de arquivos PHP possam ser carregados e incluídos.

Para versões até a 4.8, inclusive, considere desativar o shortcode ‘td block title’ ou restringir o uso do atributo ‘block template id’ até que uma correção esteja disponível. Restrinja o acesso a arquivos e diretórios confidenciais para minimizar o risco de exploração. Evite usar o atributo ‘block template id’ no shortcode ‘td block title’ até que a vulnerabilidade seja resolvida.