BDU:2024-02882

Опубликовано: 09 сент. 2023

Источник: fstec

CVSS3: 4.3

CVSS2: 5

EPSS Низкий

Описание

Уязвимость функции admin_notice() плагина ProfilePress системы управления содержимым сайта WordPress связана с подделкой межсайтовых запросов в результате некорректной проверки значения одноразового кода nonce. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, реализовать CSRF-атаку

Вендор

Proper Fraction LLC.

Наименование ПО

ProfilePress

Версия ПО

до 4.13.1 включительно (ProfilePress)

Тип ПО

Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

Уровень опасности уязвимости

Средний уровень опасности (базовая оценка CVSS 2.0 составляет 5)

Средний уровень опасности (базовая оценка CVSS 3.0 составляет 4,3)

Возможные меры по устранению уязвимости

Использование рекомендаций:

https://www.wordfence.com/threat-intel/vulnerabilities/wordpress-plugins/wp-user-avatar/profilepress-4131-cross-site-request-forgery-via-admin-notice

https://ru.wordpress.org/plugins/wp-user-avatar/

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2023-41953
CVE

EPSS

Процентиль: 47%

0.0024

Низкий

4.3 Medium

CVSS3

5 Medium

CVSS2

Связанные уязвимости

CVE-2023-41953

CVSS3: 5.3

nvd

около 1 года назад

Missing Authorization vulnerability in ProfilePress Membership Team ProfilePress.This issue affects ProfilePress: from n/a through 4.13.1.

CVE-2023-41953

msrc

почти 3 года назад

GitHub: CVE-2022-41953 Git GUI Clone Remote Code Execution Vulnerability

GHSA-g82v-73f7-4w62

CVSS3: 5.3

github

около 1 года назад

Missing Authorization vulnerability in ProfilePress Membership Team ProfilePress.This issue affects ProfilePress: from n/a through 4.13.1.

BDU:2023-00599

CVSS3: 8.6

fstec

около 3 лет назад

Уязвимость функции клонирования репозиториев графического инструмента Git GUI распределенной системы контроля версий Git for Windows, позволяющая нарушителю выполнить произвольный код