CVE-2024-8671

Nome do software vulnerável e versões afetadas:

WooEvents - plugin de calendário e agendamento de eventos para o WordPress, versões até a 4.1.2, inclusive

Descrição:

O plugin WooEvents - Calendário e Agendamento de Eventos para o WordPress está vulnerável à sobrescrita arbitrária de arquivos devido à validação insuficiente do caminho do arquivo no arquivo inc/barcode.php. Isso permite que invasores não autenticados sobrescrevam arquivos arbitrários no servidor, o que pode facilmente levar à execução remota de código quando o arquivo correto é excluído, como o wp-config.php.

Recomendações:

Para versões até a 4.1.2, inclusive, atualize para uma versão superior à 4.1.2 para resolver o problema. Como solução temporária, considere restringir o acesso ao arquivo inc/barcode.php até que um patch esteja disponível. Evite usar a validação de caminho de arquivo vulnerável no arquivo inc/barcode.php até que o problema seja resolvido.