Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidad en la meta "wp_capabilities" en el plugin Patreon de WordPress (CVE-2021-24230)

Gravedad CVSS v3.1:
ALTA
Tipo:
CWE-352 Falsificación de petición en sitios cruzados (Cross-Site Request Forgery)
Fecha de publicación:
12/04/2021
Última modificación:
04/05/2021

Descripción

El equipo de Jetpack Scan identificó una vulnerabilidad de tipo Cross-Site Request Forgery en el plugin Patreon de WordPress versiones anteriores a 1.7.0, permitiendo a un atacante hacer que un usuario registrado sobrescriba o cree metadatos de usuario arbitrarios en la cuenta de la víctima una vez visitada. Si se explota, este error se puede utilizar para sobrescribir la meta "wp_capabilities", que contiene los roles y privilegios de la cuenta de usuario afectada. Hacer esto esencialmente los bloquearía fuera del sitio, impidiéndoles acceder a contenido pago

Productos y versiones vulnerables

CPE Desde Hasta
cpe:2.3:a:patreon:patreon_wordpress:*:*:*:*:*:wordpress:*:* 1.7.0 (excluyendo)