Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidad en UltimateAI para WordPress (CVE-2024-9104)

Gravedad CVSS v3.1:
MEDIA
Tipo:
No Disponible / Otro tipo
Fecha de publicación:
16/10/2024
Última modificación:
16/10/2024

Descripción

El complemento UltimateAI para WordPress es vulnerable a la omisión de la autenticación en todas las versiones hasta la 2.8.3 incluida. Esto se debe a una comprobación incorrecta de los valores vacíos y a la falta de una comprobación de los valores activados por defecto en la función 'ultimate_ai_change_pass'. Esto permite que atacantes no autenticados restablezcan la contraseña del primer usuario cuya cuenta aún no está activada o del primer usuario que activó su cuenta y que son suscriptores.