PT-2024-18022 · WordPress · Memberpress

Jamie Perrelet · Publicado 2024-04-09 · Atualizado 2025-01-22 · CVE-2024-1412

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.1

Média

Vetor base

AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

Nome do software vulnerável e versões afetadas

Plugin Memberpress para versões do WordPress anteriores à 1.11.27

Descrição

O problema está relacionado a Cross-Site Scripting refletido devido à sanitização insuficiente de entradas e à falta de escapamento de saídas nos parâmetros message e error. Isso permite que invasores não autenticados injetem scripts web arbitrários em páginas que serão executados caso consigam induzir um usuário a realizar uma ação, como clicar em um link.

Recomendações

Para versões até e incluindo a 1.11.26, atualize para a versão 1.11.27 ou posterior para resolver o problema.

Como solução temporária, considere restringir o acesso aos parâmetros message e error nos pontos de extremidade da API afetados até que um patch esteja disponível.

Evite usar os parâmetros message e error nos pontos de extremidade da API afetados até que o problema seja resolvido.

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2024-1412

Produtos afetados

Memberpress

Referências · 6

• https://twitter.com/VulmonFeeds/status/1777797086131400918 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2024-1412 · Nota de Segurança
• https://memberpress.com/change-log · Nota
• https://osv.dev/vulnerability/CVE-2024-1412 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/1777891019637600296 · Publicação no Twitter
• https://wordfence.com/threat-intel/vulnerabilities/id/882631ab-ef16-4158-adbc-60ad177ae6b8?source=cve · Nota