PT-2024-37754 · WordPress · Wp Total Branding

Artem Polynko · Publicado 2024-07-12 · Atualizado 2024-07-12 · CVE-2024-6625

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.5

Média

Vetor base

AV:N/AC:L/PR:H/UI:N/S:C/C:L/I:L/A:N

Nome do software vulnerável e versões afetadas

WP Total Branding – Solução completa de personalização para o WordPress (plug-in), versões anteriores à 1.2

Descrição

O problema decorre da sanitização insuficiente de entradas e da falta de escapamento de saídas nas configurações de administração, permitindo que invasores autenticados com permissões de nível de administrador injetem scripts web arbitrários nas páginas. Isso afeta instalações multisite e instalações nas quais o unfiltered html foi desativado, possibilitando que os scripts injetados sejam executados sempre que um usuário acessar uma página afetada.

Recomendações

Para versões anteriores à 1.2, atualize para uma versão que inclua as correções necessárias de sanitização de entrada e escapamento de saída para prevenir ataques de Stored Cross-Site Scripting. Como solução temporária, considere restringir as permissões de nível de administrador ou desativar as configurações de administração vulneráveis até que um patch esteja disponível.

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2024-6625

Produtos afetados

Wp Total Branding

Referências · 7

• https://plugins.trac.wordpress.org/changeset/3115880/wp-total-branding/trunk/includes/modules/login.php · Nota
• https://t.me/cvedetector/716 · Publicação no Telegram
• https://plugins.trac.wordpress.org/changeset/3115880/wp-total-branding/trunk/includes/options/login.php · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2024-6625 · Nota de Segurança
• https://wordpress.org/plugins/wp-total-branding/#developers · Nota
• https://wordfence.com/threat-intel/vulnerabilities/id/3b6ac92f-2ad1-4528-b157-5e49d6f224a5?source=cve · Nota
• https://plugins.trac.wordpress.org/browser/wp-total-branding/trunk/includes/modules/login.php#L87 · Nota