CVE-2024-5453

Nome do software vulnerável e versões afetadas:

O plugin ProfileGrid – User Profiles, Groups and Communities para versões do WordPress até a 5.8.6, inclusive

Descrição:

A vulnerabilidade permite que invasores autenticados com acesso de nível de Assinante ou superior modifiquem dados sem a devida autorização. Isso se deve à falta de verificação de permissão nas funções pm dismissible notice e pm wizard update group icon. Como resultado, invasores podem alterar opções arbitrárias para o valor 1 ou modificar ícones de grupo.

Recomendações:

Para versões até a 5.8.6, inclusive, atualize para uma versão que inclua uma correção para a falta de verificação de capacidade nas funções pm dismissible notice e pm wizard update group icon.

Como solução alternativa temporária, considere restringir o acesso às funções pm dismissible notice e pm wizard update group icon até que um patch esteja disponível.