CVE-2021-24752
Múltiples plugins del proveedor CatchThemes no realizan comprobaciones de capacidad y CSRF en la acción AJAX ctp_switch, lo que podría permitir a cualquier usuario autenticado, como un suscriptor, cambiar las configuraciones del Essential Widgets WordPress plugin antes de la versión 1.9, To Top WordPress plugin antes de la versión 2.3, Header Enhancement WordPress plugin antes de la versión 1.5, Generate Child Theme WordPress plugin antes de la versión 1.6, Essential Content Types WordPress plugin antes de la versión 1.9, Catch Web Tools WordPress plugin antes de la versión 2.7, Catch Under Construction WordPress plugin antes de la versión 1.4, Catch Themes Demo Import WordPress plugin antes de la versión 1.6, Catch Sticky Menu WordPress plugin antes de la versión 1.7, Catch Scroll Progress Bar WordPress plugin antes de la versión 1.6, Social Gallery and Widget WordPress plugin antes de la versión 2.3, Catch Infinite Scroll WordPress plugin antes de la versión 1.9, Catch Import Export WordPress plugin antes de la versión 1.9, Catch Gallery WordPress plugin antes de la versión 1.7, Catch Duplicate Switcher WordPress plugin antes de la versión 1.6, Catch Breadcrumb WordPress plugin antes de la versión 1.7, Catch IDs WordPress plugin antes de la versión 2.4.
Traducción automática del texto original de la fuente. Ver original
Fuente: CVE.org