gh-ost00/cve-2024-4898Prova de conceito de exploit para CVE-2024-4898, demonstrando configuração de API não autenticada, atualização arbitrária de opções e criação de usuário administrativo no plugin InstaWP Connect.
CVE-2024-4898 InstaWP Connect – Staging e Migração WP em 1 clique <= 0.1.0.38 - Ausência de Autorização para Configuração de API Não Autenticada/Atualização Arbitrária de Opções/Criação de Usuário Administrativo https://www.wordfence.com/threat-intel/vulnerabilities/wordpress-plugins/instawp-connect/instawp-connect-1-click-wp-staging-migration-01038-missing-authorization-to-unauthenticated-api-setuparbitrary-options-updateadministrative-user-creation
Arquivo: wp-content/plugins/instawp-connect/includes/class-instawp-rest-api.php image image image
Arquivo: wp-content/plugins/instawp-connect/includes/class-instawp-tools.php image
Criar função de usuário Administrador
Criar chave de API: https://app.instawp.io/user/api-tokens image
