PT-2024-36810

CVE-2024-5639

·

Publicado

2024-06-21

·

Atualizado

2024-06-24

Descrição por

CVSS 3.1
4.3
Média
MétricasAV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N
Nome do software vulnerável e versões afetadas
Plugin User Profile Picture para versões do WordPress até a 2.6.1, inclusive
Descrição
A vulnerabilidade permite que invasores autenticados com acesso de nível Autor ou superior atualizem a foto de perfil de qualquer usuário devido à falta de validação de uma chave controlada pelo usuário na função rest api change profile image. Trata-se de uma vulnerabilidade de referência direta a objeto insegura.
Recomendações
Para versões até a 2.6.1, inclusive, considere desativar a função rest api change profile image até que um patch esteja disponível para impedir a exploração. Restrinja o acesso ao plugin User Profile Picture para minimizar o risco de atualizações não autorizadas da foto de perfil.
Explorabilidade
Correção
Impactos
Pesquisadores
Fornecedores
Produtos afetados
Enumeração de fraquezas
CWE-639: Authorization Bypass Through User-Controlled Key
Identificadores relacionados
CVE-2024-5639
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
dbugs@ptsecurity.com