CVE-2024-4186

Plugin Build App Online para versões do WordPress até a 3.0.5, inclusive

O problema se deve ao fato de o valor padrão de eb user email verification key estar vazio e à ausência de uma verificação de valor não vazio na função eb user email verify. Isso permite que invasores não autenticados façam login como qualquer usuário existente, como um administrador, caso tenham acesso ao ID do usuário. A exploração dessa vulnerabilidade depende da ativação da configuração “Verificação de e-mail”.

Para versões até a 3.0.5, inclusive, atualize para uma versão que corrija o valor padrão vazio de eb user email verification key e adicione uma verificação de valor não vazio na função eb user email verify.

Como solução temporária, considere desativar a configuração “Verificação de e-mail” até que um patch esteja disponível.

Restrinja o acesso aos IDs de usuário para minimizar o risco de exploração.