PT-2021-4511 · WordPress · Wordpress

Ehti · Publicado 2021-09-09 · Atualizado 2024-03-06 · CVE-2021-39201

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.6

Alta

Vetor base

AV:N/AC:L/PR:L/UI:R/S:C/C:H/I:L/A:N

Nome do software vulnerável e versões afetadas

Versões do WordPress anteriores à 5.8

Descrição

A vulnerabilidade permite que um usuário autenticado, mas com privilégios limitados, como um colaborador ou autor, execute scripts entre sites (XSS) no editor, contornando as restrições impostas aos usuários que não têm permissão para publicar unfiltered html.

Recomendações

Para versões anteriores à 5.8, atualize para o WordPress 5.8 ou habilite as atualizações automáticas para receber a correção por meio de versões secundárias.

Como solução temporária, considere restringir o uso do editor para usuários com privilégios limitados até que um patch esteja disponível.

Mantenha as atualizações automáticas habilitadas para receber a correção.

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

BDU:2021-05149

BIT-WORDPRESS-2021-39201

BIT-WORDPRESS-MULTISITE-2021-39201

CVE-2021-39201

DSA-4985-1

GHSA-WH69-25HR-H94V

Produtos afetados

Wordpress

Referências · 16

• https://github.com/WordPress/wordpress-develop/security/advisories/GHSA-wh69-25hr-h94v · Nota
• https://t.me/cvenotify/21521 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2021-39201 · Aviso do Fabricante
• https://osv.dev/vulnerability/DSA-4985-1 · Aviso do Fabricante
• https://security-tracker.debian.org/tracker/CVE-2021-39201 · Aviso do Fabricante
• https://osv.dev/vulnerability/UBUNTU-CVE-2021-39201 · Aviso do Fabricante
• https://osv.dev/vulnerability/BIT-wordpress-multisite-2021-39201 · Aviso do Fabricante
• https://ubuntu.com/security/CVE-2021-39201 · Aviso do Fabricante
• https://cve.org/CVERecord?id=CVE-2021-39201 · Nota de Segurança
• https://hackerone.com/reports/1142140 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2021-39201 · Nota de Segurança
• https://t.me/cibsecurity/28653 · Publicação no Telegram
• https://bdu.fstec.ru/vul/2021-05149 · Nota de Segurança
• https://osv.dev/vulnerability/DEBIAN-CVE-2021-39201 · Aviso do Fabricante
• https://debian.org/security/2021/dsa-4985 · Aviso do Fabricante