PT-2021-15704 · WordPress · Contact Form 7 Style

Chloe Chamberland · Publicado 2021-04-05 · Atualizado 2021-04-20 · CVE-2021-24159

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H

**Nome do software vulnerável e versões afetadas:

Versões do plugin Contact Form 7 Style para WordPress anteriores à 3.1.9

Descrição:

O problema decorre da falta de sanitização e proteção por nonce no recurso de CSS personalizado, permitindo que um invasor injete código JavaScript malicioso em um site. Isso pode ser feito induzindo o administrador do site a clicar em um link ou anexo, o que, por sua vez, atualiza as configurações de CSS para incluir o código malicioso.

Recomendações:

Para versões anteriores à 3.1.9, atualize para a versão 3.1.9 ou posterior para resolver o problema. Como solução temporária, considere restringir o acesso ao recurso de CSS personalizado para minimizar o risco de exploração.

Correção

CSRF

Enumeração de Fraquezas

CWE-352

Identificadores relacionados

CVE-2021-24159

Produtos afetados

Contact Form 7 Style

Referências · 4

• https://wpscan.com/vulnerability/363182f1-9fda-4363-8f6a-be37c4c07aa9 · Nota
• https://wordfence.com/blog/2021/02/unpatched-vulnerability-50000-wp-sites-must-find-alternative-for-contact-form-7-style · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2021-24159 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2021-24159 · Aviso do Fabricante