CVE-2024-6168

Nome do software vulnerável e versões afetadas:

O plugin Just Custom Fields para versões do WordPress até a 3.3.2, inclusive

Descrição:

O problema está relacionado à falsificação de solicitação entre sites (Cross-Site Request Forgery) devido à falta ou à validação incorreta do nonce em várias funções AJAX. Isso permite que invasores não autenticados invoquem funcionalidades destinadas a usuários administradores por meio de uma solicitação falsificada, desde que consigam induzir um administrador do site a realizar uma ação. Isso permite que assinantes gerenciem grupos de campos e alterem a visibilidade de itens, entre outras coisas.

Recomendações:

Para versões até a 3.3.2, inclusive, atualize para uma versão que inclua a validação de nonce necessária para prevenir ataques de falsificação de solicitação entre sites (CSRF).

Como solução temporária, considere restringir o acesso às funções AJAX até que um patch esteja disponível.