PT-2022-26251 · WordPress · Chained Quiz

Muhammad Zeeshan + 1 · Publicado 2022-12-02 · Atualizado 2022-12-05 · CVE-2022-4210

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.1

Média

Vetor base

AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

Nome do software vulnerável e versões afetadas

Plugin Chained Quiz para o WordPress, versões até a 1.3.2, inclusive

Descrição

O problema decorre da sanitização insuficiente de entradas e da falta de escapamento de saídas, permitindo ataques de Cross-Site Scripting refletido. Isso pode ser explorado por meio do parâmetro dnf na página “chainedquiz list”, permitindo que invasores não autenticados injetem scripts web arbitrários. Os invasores podem induzir os usuários a realizar ações como clicar em um link para executar esses scripts.

Recomendações

Para o plugin Chained Quiz para versões do WordPress até a 1.3.2, inclusive, atualize para uma versão posterior à 1.3.2 para resolver o problema. Como solução temporária, considere restringir o acesso à página “chainedquiz list” e evitar o uso do parâmetro dnf até que um patch esteja disponível.

Exploit

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2022-4210

Produtos afetados

Chained Quiz

Referências · 6

• 🔥 https://gist.github.com/Xib3rR4dAr/417a11bcb9b8da28cfe5ba1c17c44d0e · Exploit
• https://plugins.trac.wordpress.org/changeset?sfp_email=&sfph_mail=&reponame=&old=2824193%40chained-quiz&new=2824193%40chained-quiz&sfp_email=&sfph_mail= · Correção
• https://wordfence.com/vulnerability-advisories-continued/#CVE-2022-4210 · Nota
• https://wordfence.com/threat-intel/vulnerabilities/id/c8a49064-ad48-410e-9b32-f94109830ccf?source=cve · Nota
• https://osv.dev/vulnerability/CVE-2022-4210 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2022-4210 · Nota de Segurança