CVE-2015-2792

Wysokie

Opublikowano: 30/03/2015(UTC)Przetłumaczono: 16/06/2026(UTC)NVD NIST

Streszczenie

Wtyczka WPML przed wersją 3.1.9 dla WordPressa nieprawidłowo obsługuje wiele akcji w jednym żądaniu, co pozwala zdalnym atakującym na ominięcie kontroli nonce i wykonanie dowolnych akcji.

Ocena ryzyka

Atakujący mogą wykorzystać tę podatność do przeprowadzania nieautoryzowanych działań na stronie, co może prowadzić do poważnych naruszeń bezpieczeństwa.

Rekomendacja

Zaleca się aktualizację wtyczki WPML do wersji 3.1.9 lub nowszej, aby zabezpieczyć się przed tym zagrożeniem.

Inne podatności w WPML plugin for WordPress

CVE-2015-2314Wysokie
Podatność SQL injection w wtyczce WPML przed wersją 3.1.9 dla WordPressa umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametr lang w nagłówku HTTP Referer w akcji wp-link-ajax do comments/feed.

Oryginalny opis (angielski, źródło NVD)

The WPML plugin before 3.1.9 for WordPress does not properly handle multiple actions in a request, which allows remote attackers to bypass nonce checks and perform arbitrary actions via a request containing an action POST parameter, an action GET parameter, and a valid nonce for the action GET parameter.