CVE-2024-5324highexploração observadaCWE-862

CVE-2024-5324: falha de alta gravidade em xootix Login & Register Customizer – Popup |…

XootiX Framework <= Various Plugin Versions - Missing Authorization to Arbitrary Options Update

Publicada em · Atualizada em

Seguir esta CVE+ Monitorar Waitlist Woocommerce+ Monitorar OTP Login & Register Woocommerce

Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.

63Vexday Risk Score

Priorize a correção. Ela exploração observada pelo VulnCheck e tem prova de conceito pública.

ssvc Actcvss 8.8epss 1.5%
da publicação à armano mesmo dia
Publicada no NVD6 de jun.
1ª PoC6 de jun.
VulnCheck5 de jun.
Multiple plugins for WordPress utilizing the XootiX Framework are vulnerable to unauthorized modification of data due to a missing capability check on the 'import_settings' function in various versions. This makes it possible for authenticated attackers, with Subscriber-level access and above, to change arbitrary options on affected sites. This can be used to enable new user registration and set the default role for new users to Administrator.
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
Produtos afetados
xootix · Login & Register Customizer – Popup | Slider | Inline | WooCommercexootix · OTP Login & Register Woocommercexootix · Side Cart Woocommerce | Woocommerce Cartxootix · Waitlist Woocommerce ( Back in stock notifier )
⚠ Recursos públicos, para você avaliar a exposição de sistemas que controla ou está autorizado a testar. Teste apenas com autorização.
CVEs relacionadas — xootix Login & Register Customizer – Popup |…

No mesmo produto, das mais perigosas para as menos.

CVE-2023-2706HIGHOTP Login Woocommerce & Gravity Forms <= 2.2 - Authentication Bypass to Privilege EscalationEPSS 1.7%CVE-2020-36715HIGHLogin/Signup Popup < 1.5 - Missing AuthorizationEPSS 0.7%CVE-2026-12215MEDIUMOTP Login & Register Woocommerce <= 2.7.2 - Unauthenticated Authentication Bypass via Brute ForceEPSS 0.6%CVE-2026-12402MEDIUMOTP Login & Register Woocommerce <= 2.7.3 - Authenticated (Administrator+) Stored Cross-Site Scripting via 'fb-config' SettingEPSS 0.3%CVE-2025-1064MEDIUMLogin/Signup Popup ( Inline Form + Woocommerce ) <= 2.8.5 - Authenticated (Contributor+) Stored Cross-Site Scripting via xoo_el_action ShortcodeEPSS 0.3%