PT-2024-35615 · WordPress · The Newsletter Plugin

Arkadiusz Hydzik · Publicado 2024-06-05 · Atualizado 2026-01-20 · CVE-2024-5317

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.4

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:C/C:L/I:L/A:N

Nome do software vulnerável e versões afetadas

O plugin Newsletter para o WordPress, versões até a 8.3.4, inclusive

Descrição

A vulnerabilidade está relacionada a um ataque de Stored Cross-Site Scripting devido à sanitização insuficiente de entradas e à falta de escapamento de saída. Isso permite que invasores não autenticados injetem scripts web arbitrários nas páginas por meio do parâmetro np1, os quais serão executados sempre que um usuário acessar uma página infectada.

Recomendações

Para versões até a 8.3.4, inclusive, atualize para uma versão que corrija o problema de sanitização insuficiente de entradas e escapamento de saídas, a fim de prevenir ataques de Stored Cross-Site Scripting.

Como solução temporária, considere restringir o acesso ao parâmetro np1 para minimizar o risco de exploração.

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2024-5317

Produtos afetados

The Newsletter Plugin

Referências · 7

• https://t.me/cvenotify/82018 · Publicação no Telegram
• https://plugins.trac.wordpress.org/changeset/3095002/newsletter · Correção
• https://osv.dev/vulnerability/CVE-2024-5317 · Aviso do Fabricante
• https://twitter.com/dailycve/status/2013670690499571730 · Publicação no Twitter
• https://wordfence.com/threat-intel/vulnerabilities/id/4876e05e-efa6-46c6-832b-9ecc42934998?source=cve · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2024-5317 · Nota de Segurança
• https://t.me/cvenotify/82851 · Publicação no Telegram