PT-2021-20610 · WordPress · Seopress

Chloe Chamberland · Publicado 2021-08-16 · Atualizado 2021-08-23 · CVE-2021-34641

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.4

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:C/C:L/I:L/A:N

**Nome do software vulnerável e versões afetadas:

Plugin SEOPress para WordPress, versões 5.0.0 a 5.0.3

Descrição:

A vulnerabilidade permite que invasores autenticados injetem scripts web arbitrários por meio da função processPut, localizada no arquivo ~/src/Actions/Api/TitleDescriptionMeta.php. Isso possibilita ataques de Cross-Site-Scripting armazenado (XSS).

Recomendações:

Para as versões 5.0.0 a 5.0.3, como solução temporária, considere desativar a função processPut até que um patch esteja disponível.

No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Exploit

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2021-34641

Produtos afetados

Seopress

Referências · 7

• 🔥 https://plugins.trac.wordpress.org/browser/wp-seopress/tags/5.0.4/src/Actions/Api/TitleDescriptionMeta.php#L78 · Exploit
• 🔥 https://wordfence.com/blog/2021/08/xss-vulnerability-patched-in-seopress-affects-100000-sites · Exploit
• https://t.me/cvenotify/19938 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2021-34641 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2021-34641 · Nota de Segurança
• https://t.me/cvenotify/19465 · Publicação no Telegram
• https://t.me/cibsecurity/27403 · Publicação no Telegram