PT-2024-37849 · WordPress · Social Auto Poster

István Márton · Publicado 2024-07-24 · Atualizado 2024-09-03 · CVE-2024-6753

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.2

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:C/C:L/I:L/A:N

Nome do software vulnerável e versões afetadas

Plugin Social Auto Poster para versões do WordPress até a 5.3.14, inclusive

Descrição

O problema está relacionado a Stored Cross-Site Scripting (XSS) por meio do parâmetro mapTypes na função AJAX ‘wpw auto poster map wordpress post type’, devido à sanitização insuficiente de entradas e à falta de escapamento de saídas. Isso permite que invasores não autenticados injetem scripts web arbitrários em páginas, os quais serão executados sempre que um usuário acessar uma página infectada.

Recomendações

Para versões até e incluindo a 5.3.14, atualize para uma versão posterior à 5.3.14 para resolver o problema.

Como solução temporária, considere restringir o acesso à função AJAX ‘wpw auto poster map wordpress post type’ até que um patch esteja disponível.

Evite usar o parâmetro mapTypes na função AJAX afetada até que o problema seja resolvido.

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2024-6753

Produtos afetados

Social Auto Poster

Referências · 6

• https://t.me/cvenotify/87198 · Publicação no Telegram
• https://t.me/cvedetector/1534 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2024-6753 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2024-6753 · Nota de Segurança
• https://wordfence.com/threat-intel/vulnerabilities/id/3c268a6d-dfb4-4a9d-802e-80e5c1c53ca2?source=cve · Nota
• https://codecanyon.net/item/social-auto-poster-wordpress-scheduler-marketing-plugin/5754169 · Nota