Este plugin permite que os administradores do site wordpress criem, personalizem e façam a gestão popup's promocionais.
Foi a empresa WebARX que descobriu a falha de falta de autorização em muitos métodos AJAX.
Esta falta de autorização permitia:
- enviar newsletters com qualquer conteúdo
- inclusão local de ficheiro
- importar ou apagar subscritores
- desencadear outras atividades
Problema da falha residia no facto de o plugin não verificar o token nonce, fazendo com que qualquer utilizador consiga executar os métodos AJAX vulneráveis.
Versão corrigida
- 3.72
Mais informações aqui: https://www.securityweek.com/many-wordpress-sites-affected-vulnerabilities-popup-builder-plugin
