CVE-2024-6311

Nome do software vulnerável e versões afetadas:

Plugin Funnelforms Free para o WordPress, versões até a 3.7.3.2, inclusive

Descrição:

O problema está relacionado ao upload arbitrário de arquivos devido à falta de validação do tipo de arquivo na função af2 add font. Isso permite que invasores autenticados com permissões de nível de administrador ou superiores façam upload de arquivos arbitrários no servidor do site afetado, possibilitando potencialmente a execução remota de código.

Recomendações:

Para versões até e incluindo a 3.7.3.2, considere desativar a função af2 add font até que um patch esteja disponível para impedir uploads arbitrários de arquivos. Restrinja o acesso à funcionalidade de upload de arquivos do plugin para minimizar o risco de exploração. Evite usar o plugin Funnelforms Free até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.