PT-2024-30608 · WordPress · Advanced Iframe

Wesley · CVE-2024-4365 · Publicado 2024-05-23 · Atualizado 2024-05-24

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.4

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:C/C:L/I:L/A:N

Nome do software vulnerável e versões afetadas

Plugin Advanced iFrame para WordPress, versões até e incluindo a 2024.3

Descrição

O problema decorre de uma sanitização insuficiente de entradas e de uma escapagem insuficiente de saídas, permitindo que invasores autenticados com permissões de nível de colaborador ou superiores injetem scripts web arbitrários nas páginas por meio do parâmetro add iframe url as param direct. Isso permite a execução dos scripts injetados sempre que um usuário acessar uma página afetada.

Recomendações

Para o plugin Advanced iFrame para versões do WordPress até e incluindo a 2024.3, considere desativar o parâmetro add iframe url as param direct até que uma correção esteja disponível para impedir a exploração.

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2024-4365

Produtos afetados

Advanced Iframe

Referências · 4

• https://plugins.trac.wordpress.org/browser/advanced-iframe/trunk/includes/advanced-iframe-main-after-iframe.php#L30 · Nota
• https://plugins.trac.wordpress.org/changeset/3090438 · Nota
• https://wordfence.com/threat-intel/vulnerabilities/id/21990e54-c3a2-4bca-b164-132ad456e651?source=cve · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2024-4365 · Nota de Segurança