PT-2021-15693 · WordPress · Modern Events Calendar Lite

Khanh + 1 · Publicado 2021-03-18 · Atualizado 2021-03-24 · CVE-2021-24147

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.4

Média

Vetor base

AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N

**Nome do software vulnerável e versões afetadas:

Versões do plugin Modern Events Calendar Lite para WordPress anteriores à 5.16.5

Descrição:

O problema está relacionado a entradas não validadas e à falta de codificação de saída no plugin. Especificamente, o campo mic comment, também conhecido como “Notas sobre o horário”, não é devidamente sanitizado ao adicionar ou editar um evento. Isso permite que usuários com privilégios tão baixos quanto os de autor adicionem eventos contendo uma carga de Cross-Site Scripting, que é acionada ao visualizar o evento no front-end.

Recomendações:

Para versões anteriores à 5.16.5, atualize para a versão 5.16.5 ou posterior para resolver o problema. Como solução temporária, considere restringir o acesso ao recurso de edição de eventos a usuários com privilégios mais elevados até que a atualização seja aplicada. Além disso, evite usar o campo mic comment em eventos até que o problema seja resolvido.

Exploit

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2021-24147

Produtos afetados

Modern Events Calendar Lite

Referências · 4

• 🔥 https://wpscan.com/vulnerability/0f9ba284-5d7e-4092-8344-c68316b0146f · Exploit
• https://osv.dev/vulnerability/CVE-2021-24147 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2021-24147 · Nota de Segurança
• https://t.me/cvenotify/11839 · Publicação no Telegram