PT-2024-37671 · Squirrly · Squirrly Seo Plugin

Bart + 1 · Publicado 2024-07-20 · Atualizado 2025-04-05 · CVE-2024-6497

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

O plugin SEO Plugin by Squirrly SEO para o WordPress, nas versões até e incluindo a 12.3.19

Descrição

A vulnerabilidade está relacionada a um ataque de Stored Cross-Site Scripting (XSS), causado por sanitização insuficiente de entradas e escapamento insuficiente de saídas, permitindo que invasores autenticados com acesso de nível Contribuidor ou superior injetem scripts web arbitrários nas páginas. Isso pode ser feito por meio do parâmetro url. Os scripts injetados serão executados sempre que um usuário acessar uma página afetada.

Recomendações

Para versões até e incluindo a 12.3.19, atualize para uma versão que contenha uma correção para este problema a fim de evitar a exploração. Como solução temporária, considere restringir o acesso ao parâmetro url nas páginas afetadas para minimizar o risco de injeção de scripts arbitrários.

Exploit

Correção

XSS

SQL injection

Enumeração de Fraquezas

CWE-79

CWE-89

Identificadores relacionados

CVE-2024-6497

Produtos afetados

Squirrly Seo Plugin

Referências · 9

• 🔥 https://nowotarski.info/wordpress-nonce-authorization · Exploit
• https://plugins.trac.wordpress.org/browser/squirrly-seo/trunk/controllers/Api.php#L267 · Nota
• https://wordpress.org/plugins/squirrly-seo/#developers · Nota
• https://wordfence.com/threat-intel/vulnerabilities/id/bb3aa613-8f34-4d96-8ddf-41fcdcf65c59?source=cve · Nota
• https://plugins.trac.wordpress.org/changeset/3121853 · Correção
• https://t.me/cvenotify/117922 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2024-6497 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2024-6497 · Aviso do Fabricante
• https://t.me/cvedetector/1268 · Publicação no Telegram