CVE-2024-9518

Plugin UserPlus para o WordPress até a versão 2.0, inclusive

A vulnerabilidade está relacionada à escalada de privilégios devido a restrições insuficientes nas funções form actions e userplus update user profile. Isso permite que invasores não autenticados especifiquem sua função de usuário fornecendo o parâmetro role durante o registro.

Para versões até a 2.0, inclusive, considere desativar as funções form actions e userplus update user profile até que um patch esteja disponível. Restrinja o acesso ao processo de registro para minimizar o risco de exploração. Evite usar o parâmetro role no endpoint de registro afetado até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.