CVE-2024-9263

CRÍTIC (9,8)

CVSS3: 0,0

El complement del calendari de reserva de cites i el complement de programació en línia de WP Timetics per a WordPress és vulnerable a la presa de comptes/escalada de privilegis mitjançant la referència d’objectes directes insegurs en totes les versions fins a la 1.0.25 inclosa mitjançant el desament () a causa de la falta validació en una clau controlada per l’usuari. Això fa possible que els atacants no autenticats restableixin els correus electrònics i les contrasenyes de comptes d’usuari arbitraris, inclosos els administradors, la qual cosa provoca la presa de control del compte i l’augment de privilegis.

Sistemes Afectats

• arraytics WP Timetics- AI-powered Appointment Booking Calendar and Online Scheduling Plugin.

Remediació
No hi ha cap recurs disponible a partir del 17 d’octubre de 2024.

Referències

• https://www.wordfence.com/threat-intel/vulnerabilities/id/74bd595b-d2fa-4c62-82d2-dba2c2b128f0?source=cve
• https://plugins.trac.wordpress.org/browser/timetics/tags/1.0.25/core/customers/customer.php#L299
• https://plugins.trac.wordpress.org/changeset/3169771/timetics/trunk/core/customers/customer.php
• https://plugins.trac.wordpress.org/changeset/3169771/timetics/trunk/core/customers/api-customer.php