CVE-2024-8292

Nome do software vulnerável e versões afetadas:

WP-Recall – plugin de registro, perfil, comércio e outros recursos para o WordPress, versões até a 16.26.8, inclusive

Descrição:

O plugin WP-Recall para o WordPress está vulnerável a escalonamento de privilégios/apropriação de conta devido à verificação inadequada da identidade do usuário durante a criação de um novo pedido. Isso permite que invasores não autenticados forneçam qualquer endereço de e-mail através do campo user email e atualizem a senha desse usuário durante a criação de um novo pedido. O complemento de comércio deve estar habilitado para explorar essa vulnerabilidade.

Recomendações:

Para o plugin WP-Recall – Registration, Profile, Commerce & More para versões do WordPress até a 16.26.8, inclusive:

Atualize para uma versão posterior à 16.26.8 para resolver a vulnerabilidade.

Como solução temporária, considere desativar o complemento de comércio para minimizar o risco de exploração.

Restrinja o acesso ao campo user email no processo de criação de novos pedidos até que a vulnerabilidade seja resolvida.