PT-2021-3638 · WordPress · Instant Images – One Click Unsplash Uploads
M0Ze
+1
·
Publicado
2021-06-01
·
Atualizado
2021-06-11
·
CVE-2021-24334
CVSS v2.0
7.0
Alta
| Vetor | AV:N/AC:M/Au:S/C:C/I:P/A:N |
Nome do software vulnerável e versões afetadas
Plugin Instant Images – One Click Unsplash Uploads para WordPress, versões anteriores à 4.4.0.1
Descrição
O problema está relacionado à validação e sanitização inadequadas das configurações dos parâmetros
unsplash download w e unsplash download h no endpoint da API /wp-admin/upload.php?page=instant-images. Isso leva a uma vulnerabilidade de Stored Cross-Site Scripting, permitindo que um invasor remoto execute ataques de cross-site scripting. A vulnerabilidade está associada à falta de medidas de proteção na estrutura da página da web.Recomendações
Para versões do plugin Instant Images – One Click Unsplash Uploads para WordPress anteriores à 4.4.0.1, atualize para a versão 4.4.0.1 ou posterior para resolver o problema. Como solução temporária, considere restringir o acesso ao endpoint da API
/wp-admin/upload.php?page=instant-images até que a atualização seja aplicada. Além disso, evite usar os parâmetros unsplash download w e unsplash download h no endpoint afetado até que o problema seja resolvido.Exploit
Correção
XSS
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Instant Images – One Click Unsplash Uploads