CVE-2024-9215

Plugin PublishPress Authors para versões do WordPress até a 4.7.1, inclusive

A vulnerabilidade está relacionada a uma referência direta a objeto insegura, o que pode levar à escalada de privilégios e à apropriação de conta. Isso se deve à falta de validação na chave controlada pelo usuário authors-user id na função action edited author(). Invasores autenticados com acesso de nível de autor ou superior podem atualizar endereços de e-mail de contas de usuário arbitrárias, incluindo administradores, e, em seguida, redefinir a senha da conta do usuário para obter acesso.

Para versões até a 4.7.1, inclusive, atualize para uma versão que contenha uma correção para este problema. Como solução temporária, considere restringir o acesso à função action edited author() até que um patch esteja disponível. Além disso, restrinja o uso da chave authors-user id para minimizar o risco de exploração.