PT-2020-11192 · WordPress · Sell Media Plugin

Publicado 2020-08-14 · Atualizado 2020-08-19 · CVE-2019-6112

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.1

Média

Vetor base

AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

Nome do software vulnerável e versões afetadas

Plugin Sell Media versão 2.4.1 para WordPress

Descrição

Uma vulnerabilidade de tipo Cross-site scripting (XSS) permite que invasores remotos injetem scripts da web ou HTML arbitrários por meio do parâmetro keyword (também conhecido como $search term ou campo de pesquisa) no arquivo /inc/class-search.php. Isso permite que invasores executem scripts maliciosos no lado do cliente.

Recomendações

Para o plugin Sell Media versão 2.4.1, considere desativar a funcionalidade de pesquisa em /inc/class-search.php até que uma correção esteja disponível, ou evite usar o parâmetro keyword no endpoint da API afetado para minimizar o risco de exploração.

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2019-6112

Produtos afetados

Sell Media Plugin

Referências · 5

• https://github.com/graphpaperpress/Sell-Media/commit/8ac8cebf332e0885863d0a25e16b4b180abedc47#diff-f16fea0a0c8cc36031ec339d02a4fb3b · Correção
• https://nvd.nist.gov/vuln/detail/CVE-2019-6112 · Nota de Segurança
• https://metamorfosec.com/Files/Advisories/METS-2020-001-A_XSS_Vulnerability_in_Sell_Media_Plugin_v2.4.1_for_WordPress.txt · Nota
• https://osv.dev/vulnerability/CVE-2019-6112 · Aviso do Fabricante
• https://t.me/cibsecurity/14142 · Publicação no Telegram