CVE-2024-8485

Nome do software vulnerável e versões afetadas:

Plugin REST API TO MiniProgram para versões do WordPress até a 4.7.1, inclusive

Descrição:

A vulnerabilidade permite a escalada de privilégios por meio da apropriação de conta devido à falta de validação na chave openid controlada pelo usuário na função updateUserInfo(). Isso possibilita que invasores não autenticados atualizem contas de usuários arbitrários, incluindo a alteração do e-mail para um endereço @weixin.com, o que pode ser aproveitado para redefinir a senha da conta do usuário, incluindo administradores.

Recomendações:

Para versões até a 4.7.1, inclusive, considere desativar a função updateUserInfo() até que um patch esteja disponível para impedir a exploração. Restrinja o acesso à API REST para minimizar o risco de apropriação de conta. Evite usar a chave openid no endpoint da API afetado até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para este problema.