PT-2024-38778 · WordPress · Mm-Breaking News
CVSS v3.1
6.1
Média
| Vetor | AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N |
Nome do software vulnerável e versões afetadas:
Plugin MM-Breaking News para WordPress, versões 0.7.9 e anteriores
Descrição:
O problema decorre da falha em escapar o parâmetro
$ SERVER[‘REQUEST URI’] antes de exibi-lo novamente em um atributo. Isso pode levar a um ataque de Cross-Site Scripting refletido em navegadores antigos.Recomendações:
Para as versões 0.7.9 e anteriores do plugin MM-Breaking News para WordPress, atualize para uma versão posterior à 0.7.9 para resolver o problema. Como solução temporária, considere desativar o plugin até que um patch esteja disponível. Restrinja o acesso a atributos que exibam o parâmetro
$ SERVER[‘REQUEST URI’] para minimizar o risco de exploração. Evite usar o parâmetro $ SERVER[‘REQUEST URI’] em atributos até que o problema seja resolvido.Exploit
Correção
XSS
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Mm-Breaking News