CVE-2024-6312

Nome do software vulnerável e versões afetadas:

Plugin Funnelforms Free para o WordPress, versões até a 3.7.3.2, inclusive

Descrição:

O problema está relacionado à exclusão arbitrária de arquivos, pois o plugin não valida adequadamente um arquivo ou seu caminho antes da exclusão. Isso é possibilitado pela função af2DeleteFontFile, permitindo que invasores não autenticados excluam arquivos arbitrários, incluindo o arquivo wp-config.php, o que pode levar à invasão do site e à execução remota de código.

Recomendações:

Para versões até a 3.7.3.2, inclusive, atualize para uma versão superior à 3.7.3.2 para resolver o problema. Como solução temporária, considere desativar a função af2DeleteFontFile até que um patch esteja disponível. Restrinja o acesso a arquivos confidenciais, como o wp-config.php, para minimizar o risco de exploração.