CVE-2024-12919

Nome do Software Vulnerável e Versões Afetadas Plugin Paid Membership Subscriptions – Effortless Memberships, Recurring Payments & Content Restriction para WordPress, versões até a 2.13.7 inclusive.

Descrição O problema decorre da função pms pb payment redirect link utilizar o valor controlado pelo usuário fornecido via parâmetro pms payment id para autenticar usuários sem qualquer validação de identidade adicional. Isso possibilita que atacantes não autenticados, com conhecimento de um ID de pagamento válido, façam login como qualquer usuário que tenha realizado uma compra no site alvo.

Recomendações Para versões até a 2.13.7 inclusive, considere desativar a função pms pb payment redirect link até que um patch esteja disponível para prevenir a exploração. Restrinja o acesso ao parâmetro pms payment id para minimizar o risco de acesso não autorizado. Atualize para uma versão posterior à 2.13.7 quando disponível.