PT-2024-34451 · WordPress · Siteorigin Widgets Bundle

Ancorn + 1 · Publicado 2024-06-10 · Atualizado 2024-06-11 · CVE-2024-5090

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.4

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:C/C:L/I:L/A:N

Nome do software vulnerável e versões afetadas:

Plugin SiteOrigin Widgets Bundle para o WordPress, versões até e incluindo a 1.61.1

Descrição:

O problema está relacionado a Stored Cross-Site Scripting no SiteOrigin Blog Widget devido à sanitização insuficiente de entradas e à falta de escapamento de saída em atributos fornecidos pelo usuário. Isso permite que invasores autenticados com acesso de nível de colaborador ou superior injetem scripts web arbitrários em páginas que serão executados sempre que um usuário acessar uma página infectada.

Recomendações:

Para versões até a 1.61.1, inclusive, atualize para uma versão que corrija o problema de sanitização insuficiente de entradas e escapamento de saída, a fim de prevenir ataques de Stored Cross-Site Scripting.

No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2024-5090

Produtos afetados

Siteorigin Widgets Bundle

Referências · 5

• https://wordfence.com/threat-intel/vulnerabilities/id/2878de45-0123-4e07-bfec-015b36b11d01?source=cve · Nota
• https://twitter.com/CVEnew/status/1800360276740759966 · Publicação no Twitter
• https://plugins.trac.wordpress.org/changeset/3098819/so-widgets-bundle · Correção
• https://osv.dev/vulnerability/CVE-2024-5090 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2024-5090 · Nota de Segurança