CVE-2024-8252

Nome do software vulnerável e versões afetadas:

Plugin Clean Login para o WordPress até a versão 1.14.5, inclusive

Descrição:

O plugin Clean Login para WordPress está vulnerável à inclusão de arquivos locais (Local File Inclusion) por meio do atributo template do shortcode clean-login-register. Isso permite que invasores autenticados com acesso de nível Contributor ou superior incluam e executem arquivos arbitrários no servidor, possibilitando a execução de qualquer código PHP contido nesses arquivos. Isso pode ser usado para contornar controles de acesso, obter dados confidenciais ou executar código em casos em que imagens e outros tipos de arquivos “seguros” possam ser carregados e incluídos.

Recomendações:

Para versões do plugin Clean Login para WordPress até a 1.14.5, inclusive, considere desativar o atributo template do shortcode clean-login-register até que uma correção esteja disponível. Restrinja o acesso ao shortcode clean-login-register para minimizar o risco de exploração. Evite usar o atributo template no shortcode clean-login-register até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.