PT-2021-16217 · WordPress · Import Any Xml/Csv File To Wordpress

Huy Nguyen · Publicado 2021-12-06 · Atualizado 2021-12-06 · CVE-2021-24714

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.8

Média

Vetor base

AV:N/AC:L/PR:H/UI:R/S:C/C:L/I:L/A:N

Nome do software vulnerável e versões afetadas

Versões anteriores à 3.6.3 do plugin “Import any XML or CSV File to WordPress”

Descrição

A vulnerabilidade permite que usuários com privilégios elevados realizem ataques Cross-Site mesmo quando a capacidade unfiltered html está desativada, pois o plugin não escapa os campos “Título” e “Identificador Único” da importação antes de exibi-los nas páginas de administração.

Recomendações

Para versões anteriores à 3.6.3, atualize para a versão 3.6.3 ou posterior para resolver o problema. Como solução temporária, considere restringir o acesso às páginas de administração onde os campos Título e Identificador Único da importação são exibidos, para minimizar o risco de exploração.

Exploit

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2021-24714

Produtos afetados

Import Any Xml/Csv File To Wordpress

Referências · 4

• 🔥 https://wpscan.com/vulnerability/a8d314b9-26ac-4b56-a85c-a2528e55e73a · Exploit
• https://osv.dev/vulnerability/CVE-2021-24714 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2021-24714 · Nota de Segurança
• https://t.me/cibsecurity/33385 · Publicação no Telegram