PT-2024-15093 · WordPress · Custom Fields Shortcode Plugin
CVSS v3.1
6.4
Média
| Vetor | AV:N/AC:L/PR:L/UI:N/S:C/C:L/I:L/A:N |
Nome do software vulnerável e versões afetadas
Plugin de shortcode para campos personalizados do WordPress, versão 0.1 e anteriores
Descrição
O problema decorre da sanitização insuficiente de entradas e da falta de escapamento de saídas nos valores de metadados de postagem personalizados fornecidos pelo usuário, permitindo que invasores autenticados com permissões de nível de colaborador ou superiores injetem scripts web arbitrários nas páginas. Isso pode levar à execução dos scripts injetados sempre que um usuário acessar uma página afetada.
Recomendações
Para versões até e incluindo a 0.1, considere desativar o shortcode
cf até que um patch esteja disponível para impedir a exploração. Restrinja o acesso aos valores de metadados de postagem personalizados para minimizar o risco de injeção de scripts web arbitrários. Evite usar o shortcode cf nas páginas até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.XSS
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Custom Fields Shortcode Plugin