CVE-2024-5324highexplotación observadaCWE-862

CVE-2024-5324: fallo de gravedad alta en xootix Login & Register Customizer – Popup |…

XootiX Framework <= Various Plugin Versions - Missing Authorization to Arbitrary Options Update

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear Waitlist Woocommerce+ Monitorear OTP Login & Register Woocommerce

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

63Vexday Risk Score

Prioriza la corrección. Ella explotación observada por VulnCheck y tiene prueba de concepto pública.

ssvc Actcvss 8.8epss 1.5%
de la publicación al armael mismo día
Publicada en NVD6 jun
1ª PoC6 jun
VulnCheck5 jun
Multiple plugins for WordPress utilizing the XootiX Framework are vulnerable to unauthorized modification of data due to a missing capability check on the 'import_settings' function in various versions. This makes it possible for authenticated attackers, with Subscriber-level access and above, to change arbitrary options on affected sites. This can be used to enable new user registration and set the default role for new users to Administrator.
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
Productos afectados
xootix · Login & Register Customizer – Popup | Slider | Inline | WooCommercexootix · OTP Login & Register Woocommercexootix · Side Cart Woocommerce | Woocommerce Cartxootix · Waitlist Woocommerce ( Back in stock notifier )
⚠ Recursos públicos, para evaluar la exposición de sistemas que controlas o estás autorizado a probar. Prueba solo con autorización.
CVEs relacionadas — xootix Login & Register Customizer – Popup |…

En el mismo producto, de las más peligrosas a las menos.

CVE-2023-2706HIGHOTP Login Woocommerce & Gravity Forms <= 2.2 - Authentication Bypass to Privilege EscalationEPSS 1.7%CVE-2020-36715HIGHLogin/Signup Popup < 1.5 - Missing AuthorizationEPSS 0.7%CVE-2026-12215MEDIUMOTP Login & Register Woocommerce <= 2.7.2 - Unauthenticated Authentication Bypass via Brute ForceEPSS 0.6%CVE-2026-12402MEDIUMOTP Login & Register Woocommerce <= 2.7.3 - Authenticated (Administrator+) Stored Cross-Site Scripting via 'fb-config' SettingEPSS 0.3%CVE-2025-1064MEDIUMLogin/Signup Popup ( Inline Form + Woocommerce ) <= 2.8.5 - Authenticated (Contributor+) Stored Cross-Site Scripting via xoo_el_action ShortcodeEPSS 0.3%