CVE-2024-7501

Plugin “Download Plugins and Themes in ZIP from Dashboard” para versões do WordPress anteriores à 1.8.8

O problema se deve à falta ou à validação incorreta do nonce na função download theme(), possibilitando que invasores não autenticados baixem temas arbitrários do site por meio de uma solicitação falsificada, desde que consigam induzir um administrador do site a realizar uma ação, como clicar em um link. Nas versões anteriores à 1.8.6, era possível baixar todos os arquivos do site.

Para versões até e incluindo a 1.8.7, atualize para a versão 1.8.8 ou posterior para resolver o problema.

Para versões anteriores à 1.8.6, atualize para a versão 1.8.8 ou posterior para impedir o download de todos os arquivos do site.

Como solução temporária, considere restringir o acesso à função download theme() até que um patch esteja disponível.