CVE-2024-0829

ŚrednieCVSS 4.3

Opublikowano: 13/03/2024(UTC)Zaktualizowano: 11/08/2026(UTC)Przetłumaczono: 11/08/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.53%

Percentyl 42 - wyżej niż 42% wszystkich znanych CVE

Streszczenie

Wtyczka Comments Extra Fields For Post, Pages and CPT dla WordPressa do wersji 5.0 włącznie jest podatna na brak autoryzacji. Brakuje w niej odpowiednich kontroli uprawnień w kilku akcjach AJAX, co pozwala uwierzytelnionym atakującym z dostępem subskrybenta lub wyższym na modyfikację pól formularza komentarzy i zmianę ustawień wtyczki.

Ocena ryzyka

Atakujący może nieautoryzowanie zmienić konfigurację wtyczki i pola formularzy, co może prowadzić do naruszenia integralności danych lub wstrzyknięcia złośliwej treści.

Rekomendacja

Zaktualizuj wtyczkę do najnowszej wersji, która zawiera poprawki autoryzacji. Jeśli nie jest dostępna, ogranicz dostęp do akcji AJAX dla nieuprawnionych ról.

Inne podatności w Comments Extra Fields For Post, Pages and CPT

CVE-2024-0830Średnie
Wtyczka Comments Extra Fields For Post, Pages and CPT dla WordPressa do wersji 5.0 włącznie jest podatna na Cross-Site Request Forgery (CSRF). Brakuje w niej walidacji nonce w kilku akcjach AJAX, co pozwala nieuwierzytelnionym atakującym na wywołanie tych akcji poprzez sfałszowane żądanie, jeśli nakłonią administratora do kliknięcia w link. W rezultacie mogą modyfikować pola formularza komentarzy i zmieniać ustawienia wtyczki.

Oryginalny opis (angielski, źródło NVD)

The Comments Extra Fields For Post,Pages and CPT plugin for WordPress is vulnerable to Missing Authorization in all versions up to, and including, 5.0. This is due to missing or incorrect capability checks on several ajax actions. This makes it possible for authenticated attackers, with subscriber access or higher, to invoke those actions. As a result, they may modify comment form fields and update plugin settings.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS