CVE-2024-7145

Plugin JetElements para o WordPress, versões até e incluindo a 2.6.20

A vulnerabilidade permite que invasores autenticados com acesso de nível Contribuidor ou superior incluam e executem arquivos arbitrários no servidor por meio do parâmetro progress type. Isso possibilita a execução de qualquer código PHP nesses arquivos, o que pode ser usado para contornar controles de acesso, obter dados confidenciais ou executar código em casos em que imagens e outros tipos de arquivos “seguros” possam ser enviados e incluídos.

Para o plugin JetElements para versões do WordPress até e incluindo a 2.6.20, atualize para uma versão posterior à 2.6.20 para resolver o problema. Como solução temporária, considere restringir o acesso ao parâmetro progress type para minimizar o risco de exploração. Além disso, restrinja a capacidade de enviar e incluir arquivos, especialmente aqueles que possam conter código PHP, para impedir a execução de código.