PT-2024-39632 · WordPress · Seur Oficial

Dale Mavers + 1 · Publicado 2024-10-29 · Atualizado 2024-10-29 · CVE-2024-9438

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.1

Média

Vetor base

AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

Nome do software vulnerável e versões afetadas

Plugin SEUR Oficial para versões do WordPress até a 2.2.11, inclusive

Descrição

O problema decorre da sanitização insuficiente de entradas e da falta de escapamento de saídas, permitindo que invasores não autenticados injetem scripts web arbitrários por meio do parâmetro change service. Isso permite que invasores executem scripts nas páginas caso consigam induzir um usuário a realizar uma ação específica, como clicar em um link.

Recomendações

Para versões até e incluindo a 2.2.11, atualize para uma versão que inclua as correções necessárias de sanitização de entrada e escapamento de saída para prevenir ataques de Cross-Site Scripting refletido. Como solução temporária, considere restringir o acesso ao parâmetro change service para minimizar o risco de exploração.

Correção

XSS

Enumeração de Fraquezas

CWE-80

Identificadores relacionados

CVE-2024-9438

Produtos afetados

Seur Oficial

Referências · 5

• https://nvd.nist.gov/vuln/detail/CVE-2024-9438 · Nota de Segurança
• https://plugins.trac.wordpress.org/changeset/3176965/seur/trunk/core/pages/seur-get-labels.php · Nota
• https://plugins.trac.wordpress.org/browser/seur/trunk/core/pages/seur-get-labels.php#L60 · Nota
• https://wordfence.com/threat-intel/vulnerabilities/id/88edf229-2be2-49d0-b500-e8ff7708f806?source=cve · Nota
• https://t.me/cvedetector/9256 · Publicação no Telegram