PT-2025-44939 · WordPress · All In One Time Clock Lite
CVSS v3.1
6.5
Média
| Vetor | AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N |
Nome do Software Vulnerável e Versões Afetadas
Todas as versões do All in One Time Clock Lite até e incluindo a 2.0.3
Descrição
O plugin apresenta acesso não autorizado devido à ausência de verificação de autorização. Ações AJAX de nível administrativo são expostas a usuários não autenticados por meio de hooks
wp ajax nopriv , confiando apenas em uma verificação de nonce sem verificações de capacidade. Isso permite que atacantes criem páginas publicadas, gerem registros de turno com problemas de integridade e baixem relatórios de horas contendo informações de identificação pessoal (PII), como nomes de funcionários e escalas de trabalho.Recomendações
Atualize para uma versão superior à 2.0.3.
Correção
Missing Authorization
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
All In One Time Clock Lite