CVE-2024-10581

Nome do Software Vulnerável e Versões Afetadas Plugin DirectoryPress Frontend para WordPress versões até e incluindo a 2.7.9

Descrição O problema deve-se à validação de nonce ausente ou incorreta na função dpfl listingStatusChange(), possibilitando que atacantes não autenticados atualizem status de listagens via uma requisição forjada. Isso pode ocorrer se um atacante conseguir induzir um administrador do site a realizar uma ação, como clicar em um link.

Recomendações Para versões até e incluindo a 2.7.9, considere desabilitar a função dpfl listingStatusChange() até que um patch esteja disponível para prevenir a exploração. Restrinja o acesso à funcionalidade do plugin para minimizar o risco de atualizações não autorizadas do status das listagens. Evite utilizar o plugin até que o problema seja resolvido em uma versão mais recente.