PT-2024-28472 · WordPress · Playlist For Youtube Wordpress Plugin

Erdemstar · Publicado 2024-05-29 · Atualizado 2024-10-03 · CVE-2024-3937

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.8

Média

Vetor base

AV:N/AC:L/PR:H/UI:R/S:C/C:L/I:L/A:N

Nome do software vulnerável e versões afetadas

Plugin Playlist for Youtube para WordPress, versões 1.32 e anteriores

Descrição

O problema diz respeito a um ataque de Cross-Site Scripting armazenado (XSS). Usuários com privilégios elevados, como administradores, podem explorar essa vulnerabilidade mesmo quando a capacidade unfiltered html está desativada, por exemplo, em configurações multisite. A vulnerabilidade decorre da falha do plugin em sanitizar e escapar algumas de suas configurações.

Recomendações

Para as versões 1.32 e anteriores, atualize para uma versão que corrija este problema. Como solução temporária, considere restringir a capacidade de usuários com privilégios elevados de modificar as configurações do plugin até que um patch esteja disponível. Evite usar entradas potencialmente maliciosas em configurações como Nome da lista de reprodução e Tamanho do vídeo.

Exploit

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2024-3937

Produtos afetados

Playlist For Youtube Wordpress Plugin

Referências · 8

• 🔥 https://wpscan.com/vulnerability/0cd5b288-05b3-48b7-9245-f59ce7377861 · Exploit
• https://t.me/cvenotify/81337 · Publicação no Telegram
• https://twitter.com/AWNetworks/status/1810297087411487030 · Publicação no Twitter
• https://twitter.com/ChannelSkell/status/1810362232305266956 · Publicação no Twitter
• https://twitter.com/ChannelSkell/status/1810690672589984096 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2024-3937 · Nota de Segurança
• https://twitter.com/ksg93rd/status/1841888089704214544 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2024-3937 · Aviso do Fabricante