CVE-2024-3947

Plugin WP To Do para versões do WordPress até a 1.3.0, inclusive

O problema está relacionado a Cross-Site Request Forgery devido à falta ou à validação incorreta do nonce na função wptodo settings(). Isso permite que invasores não autenticados modifiquem as configurações do plugin por meio de uma solicitação falsificada, caso consigam induzir um administrador do site a realizar uma ação, como clicar em um link.

Para versões até a 1.3.0, inclusive, considere desativar a função wptodo settings() até que um patch esteja disponível para impedir a modificação das configurações do plugin por meio de solicitações falsificadas. Restrinja o acesso às configurações do plugin para minimizar o risco de exploração. Evite usar o plugin até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.