PT-2024-38110 · WordPress · Jetblocks

Matthew Rollings + 1 · Publicado 2024-08-16 · Atualizado 2024-08-19 · CVE-2024-7147

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.4

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:C/C:L/I:L/A:N

Nome do software vulnerável e versões afetadas

Plugin JetBlocks for Elementor para o WordPress, versões até a 1.3.12, inclusive

Descrição

O problema está relacionado a Stored Cross-Site Scripting (XSS) por meio de múltiplos parâmetros de placeholder, devido à sanitização insuficiente de entradas e à falta de escapamento de saídas. Isso permite que invasores autenticados com acesso de nível Contributor ou superior injetem scripts web arbitrários em páginas, os quais serão executados sempre que um usuário acessar uma página infectada.

Recomendações

Para versões até e incluindo a 1.3.12, atualize para uma versão superior à 1.3.12 para resolver o problema. Como solução temporária, considere restringir o acesso aos parâmetros de placeholder do plugin para minimizar o risco de exploração. Além disso, restrinja o acesso a páginas que possam ter sido injetadas com scripts maliciosos para evitar novas explorações.

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2024-7147

Produtos afetados

Jetblocks

Referências · 8

• https://twitter.com/VulmonFeeds/status/1824508797831799223 · Publicação no Twitter
• https://twitter.com/CVEnew/status/1824404222491890018 · Publicação no Twitter
• https://crocoblock.com/plugins/jetblocks · Nota
• https://wordfence.com/threat-intel/vulnerabilities/id/21f8908c-bcfc-4ca1-bc8b-80a80c4a5a4f?source=cve · Nota
• https://twitter.com/Cyberwald_talks/status/1824452605914808758 · Publicação no Twitter
• https://t.me/cvedetector/3327 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2024-7147 · Nota de Segurança
• https://t.me/cvenotify/90879 · Publicação no Telegram