PT-2024-39500 · WordPress · Tainacan

Colin Xu · CVE-2024-9221 · Publicado 2024-10-11 · Atualizado 2024-10-15

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.1

Média

Vetor base

AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

Nome do software vulnerável e versões afetadas

Plugin Tainacan para o WordPress, versões até e incluindo a 0.21.10

Descrição

O problema decorre do uso da função add query arg sem o escapamento adequado da URL, levando a um ataque de Cross-Site Scripting refletido. Isso permite que invasores não autenticados injetem scripts web arbitrários nas páginas, os quais são executados quando um usuário realiza uma ação específica, como clicar em um link.

Recomendações

Para versões até e incluindo a 0.21.10, atualize para uma versão superior à 0.21.10 para resolver o problema.

Exploit

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2024-9221

Produtos afetados

Tainacan

Referências · 8

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2024/9xxx/CVE-2024-9221.json · Exploit
• https://t.me/cvedetector/7671 · Publicação no Telegram
• https://wordfence.com/threat-intel/vulnerabilities/id/85a8a7df-b472-4a81-b808-a413c158c1cf?source=cve · Nota
• https://plugins.trac.wordpress.org/browser/tainacan/tags/0.21.10/classes/theme-helper/template-tags.php#L1298 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2024-9221 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2024-9221 · Aviso do Fabricante
• https://plugins.trac.wordpress.org/browser/tainacan/tags/0.21.10/classes/theme-helper/template-tags.php#L1524 · Nota
• https://plugins.trac.wordpress.org/changeset/3165873 · Correção