PT-2021-7521 · WordPress · Image Hover Effects Ultimate

Zhouyuan Yang · Publicado 2021-12-20 · Atualizado 2022-09-26 · CVE-2022-2937

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.4

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:C/C:L/I:L/A:N

Nome do software vulnerável e versões afetadas

Plugin Image Hover Effects Ultimate para versões do WordPress até a 9.7.3, inclusive

Descrição

A vulnerabilidade está relacionada a um ataque de Cross-Site Scripting (XSS) armazenado por meio dos valores Title e Description, que podem ser adicionados a um efeito de foco de imagem devido à sanitização insuficiente de entradas e à falta de escapamento de saídas. Isso permite que invasores autenticados injetem scripts web arbitrários em páginas, os quais serão executados sempre que um usuário acessar uma página infectada. Por padrão, o plugin permite que apenas administradores editem Image Hovers, mas se um administrador do site disponibilizar os recursos do plugin para usuários com privilégios inferiores por meio da configuração Quem pode editar?, isso poderá ser explorado por esses usuários.

Recomendações

Para versões até a 9.7.3, inclusive, considere desativar a edição de Image Hovers para usuários com privilégios mais baixos, restringindo o acesso à configuração Quem pode editar? até que um patch esteja disponível. Como solução temporária, restrinja o uso dos campos Título e Descrição no plugin Image Hover Effects Ultimate para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

BDU:2022-07219

CVE-2022-2937

Produtos afetados

Image Hover Effects Ultimate

Referências · 9

• https://t.me/cibsecurity/50346 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2022-2937 · Nota de Segurança
• https://plugins.trac.wordpress.org/changeset?sfp_email=&sfph_mail=&reponame=&old=2669411%40image-hover-effects-ultimate&new=2669411%40image-hover-effects-ultimate&sfp_email=&sfph_mail= · Correção
• https://osv.dev/vulnerability/CVE-2022-2937 · Aviso do Fabricante
• https://plugins.trac.wordpress.org/changeset?sfp_email=&sfph_mail=&reponame=&old=2669411%40image-hover-effects-ultimate&new=2669411%40image-hover-effects-ultimate&sfp_email=&sfph_mail= · Nota
• https://bdu.fstec.ru/vul/2022-07219 · Nota de Segurança
• https://fortiguard.com/zeroday/FG-VD-21-107 · Nota
• https://wordpress.org/plugins/image-hover-effects-ultimate · Nota
• https://wordfence.com/vulnerability-advisories/#CVE-2022-2937 · Nota