PT-2025-14086 · WordPress · Groundhogg
Cristian Bejan
·
Publicado
2025-04-01
·
Atualizado
2025-04-01
·
CVE-2025-1267
CVSS v3.1
5.5
Média
| Vetor | AV:N/AC:L/PR:H/UI:N/S:C/C:L/I:L/A:N |
Nome do Software Vulnerável e Versões Afetadas
Plugin Groundhogg para Wordpress versões até a 3.7.4.1 inclusive.
Descrição
O problema está relacionado a Stored Cross-Site Scripting via o parâmetro
label, devido à sanitização de entrada e escape de saída insuficientes. Isso permite que atacantes autenticados com acesso de nível Administrador injetem scripts web arbitrários em páginas, os quais serão executados sempre que um usuário acessar uma página injetada. O problema afeta apenas instalações multisite e instalações onde o unfiltered html foi desativado.Recomendações
Para versões até a 3.7.4.1 inclusive, considere desativar o parâmetro
label para prevenir exploração até que um patch esteja disponível. Restrinja o acesso a contas de nível Administrador para minimizar o risco de injeção. Evite usar o parâmetro label em páginas afetadas até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.XSS
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Groundhogg