PT-2024-39691 · WordPress · Slimstat Analytics

Bilal Chawich · Publicado 2024-10-14 · Atualizado 2024-10-17 · CVE-2024-9548

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.2

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:C/C:L/I:L/A:N

Nome do software vulnerável e versões afetadas

Plugin SlimStat Analytics para o WordPress, versões até a 5.2.6, inclusive

Descrição

A vulnerabilidade está relacionada a um ataque de Cross-Site Scripting (XSS) armazenado (Stored Cross-Site Scripting) por meio do parâmetro resource, devido à sanitização insuficiente de entradas e à falta de escapamento de saídas ao registrar as solicitações dos visitantes. Isso permite que invasores não autenticados injetem scripts web arbitrários em páginas, os quais serão executados sempre que um usuário acessar uma página infectada.

Recomendações

Para versões até a 5.2.6, inclusive, atualize para uma versão posterior à 5.2.6 para resolver o problema. Como solução temporária, considere restringir o acesso ao parâmetro resource para minimizar o risco de exploração.

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2024-9548

Produtos afetados

Slimstat Analytics

Referências · 11

• https://plugins.trac.wordpress.org/browser/wp-slimstat/tags/5.2.6/admin/view/right-now.php#L196 · Nota
• https://wordfence.com/threat-intel/vulnerabilities/id/fa91912d-5794-4c96-8a13-bd54ce0f1deb?source=cve · Nota
• https://t.me/cvedetector/7872 · Publicação no Telegram
• https://plugins.trac.wordpress.org/browser/wp-slimstat/tags/5.2.6 · Correção
• https://t.me/latest_high_impact_cve/1324 · Publicação no Telegram
• https://twitter.com/CVEnew/status/1845972842833138015 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2024-9548 · Aviso do Fabricante
• https://twitter.com/VulmonFeeds/status/1846083745368908155 · Publicação no Twitter
• https://t.me/cvenotify/98016 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2024-9548 · Nota de Segurança
• https://twitter.com/cracbot/status/1846793402094149805 · Publicação no Twitter