CVE-2024-8791

Nome do software vulnerável e versões afetadas:

Donation Forms by Charitable – Plugin de doações e plataforma de arrecadação de fundos para WordPress, versões até e incluindo a 1.8.1.14

Descrição:

O problema ocorre porque o plugin não verifica adequadamente a identidade do usuário quando o parâmetro ID é fornecido por meio da função update core user(). Isso permite que invasores não autenticados atualizem o endereço de e-mail e a senha de contas de usuário arbitrárias, incluindo administradores, que podem então ser usadas para fazer login nessas contas.

Recomendações:

Para versões até e incluindo a 1.8.1.14, considere desativar a função update core user() até que um patch esteja disponível para impedir a exploração. Restrinja o acesso ao parâmetro ID para minimizar o risco de atualizações não autorizadas de contas. Evite usar o parâmetro ID na função afetada até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.