PT-2022-9670 · WordPress · Wp Photo Album Plus

Krzysztof Zając · Publicado 2022-02-14 · Atualizado 2022-02-19 · CVE-2021-25115

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.4

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:C/C:L/I:L/A:N

Nome do software vulnerável e versões afetadas

Versões do WP Photo Album Plus anteriores à 8.0.10

Descrição

O problema diz respeito a um ataque de Cross-Site Scripting (XSS) armazenado, devido ao tratamento inadequado do conteúdo do log de erros. Isso permite que qualquer usuário, inclusive aqueles não autenticados, execute código JavaScript arbitrário no painel de administração.

Recomendações

Para versões anteriores à 8.0.10, atualize para a versão 8.0.10 ou posterior para resolver o problema. Como solução temporária, considere restringir o acesso ao painel de administração para minimizar o risco de exploração.

Exploit

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2021-25115

Produtos afetados

Wp Photo Album Plus

Referências · 5

• 🔥 https://wpscan.com/vulnerability/dbc18c2c-7547-44fc-8a41-c819757e47a7 · Exploit
• https://t.me/cibsecurity/37408 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2021-25115 · Aviso do Fabricante
• https://plugins.trac.wordpress.org/changeset/2655859/wp-photo-album-plus · Correção
• https://nvd.nist.gov/vuln/detail/CVE-2021-25115 · Nota de Segurança