PT-2021-22060 · WordPress · Wordpress Simple Shop

P7E4 · Publicado 2021-09-10 · Atualizado 2021-09-21 · CVE-2021-38340

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.1

Média

Vetor base

AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

Nome do software vulnerável e versões afetadas

Versões do plugin WordPress Simple Shop até a 1.2, inclusive

Descrição

A vulnerabilidade permite que invasores injetem scripts web arbitrários por meio do parâmetro update row, encontrado no arquivo ~/includes/add product.php, possibilitando ataques de Cross-Site Scripting refletido.

Recomendações

Para versões até e incluindo a 1.2, considere desativar o acesso ao arquivo ~/includes/add product.php ou restringir o uso do parâmetro update row até que uma correção esteja disponível.

No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Exploit

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2021-38340

Produtos afetados

Wordpress Simple Shop

Referências · 5

• 🔥 https://plugins.trac.wordpress.org/browser/webful-simple-grocery-shop/trunk/includes/add_product.php#L80 · Exploit
• https://nvd.nist.gov/vuln/detail/CVE-2021-38340 · Nota de Segurança
• https://wordfence.com/vulnerability-advisories/#CVE-2021-38340 · Nota
• https://t.me/cibsecurity/28676 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2021-38340 · Aviso do Fabricante