CVE-2024-9707criticalexploração observadaCWE-862

CVE-2024-9707: falha crítica em themehunk Hunk Companion

Hunk Companion <= 1.8.4 - Missing Authorization to Unauthenticated Arbitrary Plugin Installation/Activation

Publicada em · Atualizada em

Seguir esta CVE+ Monitorar Hunk Companion

Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.

85Vexday Risk Score

Corrija agora. Ela exploração observada pelo VulnCheck e tem exploit funcional público.

ssvc Actcvss 9.8epss 9.1%
da publicação à armano mesmo dia
Publicada no NVD11 de out.
1ª PoC11 de out.
VulnCheck11 de out.
The Hunk Companion plugin for WordPress is vulnerable to unauthorized plugin installation/activation due to a missing capability check on the /wp-json/hc/v1/themehunk-import REST API endpoint in all versions up to, and including, 1.8.4. This makes it possible for unauthenticated attackers to install and activate arbitrary plugins which can be leveraged to achieve remote code execution if another vulnerable plugin is installed and activated.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Produtos afetados
themehunk · Hunk Companion
⚠ Recursos públicos, para você avaliar a exposição de sistemas que controla ou está autorizado a testar. Teste apenas com autorização.