PT-2024-39508 · WordPress · Download Plugins/Themes In Zip From Dashboard

Dale Mavers + 1 · Publicado 2024-10-11 · Atualizado 2024-10-15 · CVE-2024-9232

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.1

Média

Vetor base

AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

Nome do software vulnerável e versões afetadas

Plugin “Download Plugins and Themes in ZIP from Dashboard” para versões do WordPress até a 1.9.1, inclusive

Descrição

O problema decorre do uso de add query arg sem o escapamento adequado da URL, levando a um ataque de Cross-Site Scripting refletido. Isso permite que invasores não autenticados injetem scripts web arbitrários em páginas que são executados quando um usuário realiza uma ação específica, como clicar em um link.

Recomendações

Para o plugin “Download Plugins and Themes in ZIP from Dashboard” para versões do WordPress até a 1.9.1, inclusive, atualize para uma versão superior à 1.9.1 para resolver o problema.

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2024-9232

Produtos afetados

Download Plugins/Themes In Zip From Dashboard

Referências · 5

• https://plugins.trac.wordpress.org/browser/download-plugins-dashboard/tags/1.9.1/includes/settings/class-alg-download-plugins-settings.php#L336 · Nota
• https://plugins.trac.wordpress.org/changeset/3165289/#file5 · Nota
• https://t.me/cvedetector/7668 · Publicação no Telegram
• https://wordfence.com/threat-intel/vulnerabilities/id/c3ea04ba-b609-49cd-aae8-68f5b51df154?source=cve · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2024-9232 · Nota de Segurança