CVE-2024-8911

Nome do software vulnerável e versões afetadas:

Plugin LatePoint para versões do WordPress até a 5.0.11, inclusive

Descrição:

O problema se deve à escapada insuficiente no parâmetro fornecido pelo usuário e à falta de preparação adequada na consulta SQL existente, possibilitando que invasores não autenticados alterem senhas de usuários e, potencialmente, assumam o controle de contas de administrador. Isso só é possível se a configuração “Usar usuários do WordPress como clientes” estiver ativada, o que é desativado por padrão. Sem essa configuração ativada, apenas as senhas dos clientes do plugin, que são armazenadas e gerenciadas em uma tabela de banco de dados separada, podem ser modificadas.

Recomendações:

Para versões até a 5.0.11, inclusive, atualize para uma versão mais recente para corrigir o problema. Como solução temporária, considere desativar a configuração “Usar usuários do WordPress como clientes” para minimizar o risco de exploração. Restrinja o acesso à funcionalidade de gerenciamento de clientes do plugin para impedir alterações não autorizadas de senha.