CVE-2024-10324mediumCWE-1230

CVE-2024-10324: falha de média gravidade em rometheme RTMKit

RomethemeKit For Elementor <= 1.5.2 - Authenticated (Contributor+) Sensitive Information Exposure via Elementor Templates

Publicada em · Atualizada em

Seguir esta CVE+ Monitorar RTMKit

Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.

13Vexday Risk Score

Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.

ssvc Trackcvss 4.3epss 0.3%
Em resumo

O plugin RomethemeKit For Elementor no WordPress permite que usuários logados com acesso básico de editor visualizem templates privados, pendentes e rascunhos que não deveriam acessar. A falha está em como o plugin expõe dados dos templates.

Detalhe técnico

A vulnerabilidade existe na função register_controls do arquivo widgets/offcanvas-rometheme.php, permitindo que atacantes autenticados com privilégios de Contribuidor ou superior acessem informações sensíveis de templates através de controles de acesso inadequados. A exposição afeta templates privados, pendentes e rascunhos que deveriam estar restritos conforme permissões do usuário.

Resumo gerado e traduzido por IA a partir da descrição oficial.
The RomethemeKit For Elementor plugin for WordPress is vulnerable to Sensitive Information Exposure in all versions up to, and including, 1.5.2 via the register_controls function in widgets/offcanvas-rometheme.php. This makes it possible for authenticated attackers, with Contributor-level access and above, to extract sensitive private, pending, and draft template data.
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N
Produtos afetados
rometheme · RTMKit
CVEs relacionadas — rometheme RTMKit

No mesmo produto, das mais perigosas para as menos.

CVE-2026-3425HIGHRTMKit Addons for Elementor <= 2.0.2 - Authenticated (Author+) Local File Inclusion via 'path'EPSS 0.6%CVE-2026-84752HIGHWordPress RTMKit plugin <= 2.1.5 - PHP Object Injection vulnerabilityEPSS 0.5%CVE-2026-5137MEDIUMRTMKit <= 2.0.7 - Authenticated (Contributor+) Limited Local File Inclusion via 'template' ParameterEPSS 0.4%CVE-2026-8351MEDIUMRTMKit <= 2.0.7 - Authenticated (Contributor+) Stored Cross-Site Scripting via Advanced Heading Widget 'Background Text' ParameterEPSS 0.4%CVE-2024-10326MEDIUMRomethemeKit For Elementor <= 1.5.3 - Missing Authorization in save_options and reset_widgetsEPSS 0.4%CVE-2026-5149MEDIUMRTMKit <= 2.0.7 - Authenticated (Contributor+) Missing Authorization to Arbitrary Form Submission Access via 'entries_id' ParameterEPSS 0.3%