CVE-2024-12541

Nome do Software Vulnerável e Versões Afetadas Plugin Chative Live Chat e Chatbot para WordPress versões até a 1.1, inclusive

Descrição O problema está relacionado à Falsificação de Solicitação Entre Sites (CSRF) devido à validação de nonce ausente ou incorreta na função add chative widget action(). Isso permite que atacantes não autenticados alterem o channel ID ou organization ID por meio de uma requisição forjada, caso consigam enganar um administrador do site para realizar uma ação como clicar em um link. Isso pode levar ao redirecionamento do widget de chat ao vivo para um canal controlado pelo atacante.

Recomendações Para o plugin Chative Live Chat e Chatbot para WordPress versões até a 1.1, inclusive: Como solução temporária, considere desativar a função add chative widget action() até que uma correção esteja disponível. Restrinja o acesso ao widget de chat ao vivo para minimizar o risco de exploração. Evite usar os parâmetros channel ID e organization ID no plugin afetado até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.