PT-2025-1802 · WordPress · Sema Api Plugin

Dale Mavers + 1 · Publicado 2025-01-09 · Atualizado 2025-01-09 · CVE-2024-12285

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.1

Média

Vetor base

AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas Plugin SEMA API para WordPress versões até e incluindo a 5.27

Descrição O problema está relacionado ao Cross-Site Scripting Refletido devido à sanitização de entrada e escape de saída insuficientes. Isso permite que atacantes não autenticados injetem scripts web arbitrários em páginas que são executados caso consigam enganar um usuário para realizar uma ação, como clicar em um link. O parâmetro catid é especificamente vulnerável a este tipo de ataque.

Recomendações Para versões até e incluindo a 5.27, considere desativar o parâmetro catid no plugin SEMA API até que um patch esteja disponível. Restrinja o acesso ao plugin SEMA API para minimizar o risco de exploração. Evite utilizar o parâmetro catid nas páginas afetadas até que a questão seja resolvida.

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2024-12285

Produtos afetados

Sema Api Plugin

Referências · 6

• https://twitter.com/VulmonFeeds/status/1877464019411345657 · Publicação no Twitter
• https://wordfence.com/threat-intel/vulnerabilities/id/42b9e16c-8e53-452d-9c0b-34c424d6f508?source=cve · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2024-12285 · Nota de Segurança
• https://plugins.trac.wordpress.org/changeset?sfp_email=&sfph_mail=&reponame=&old=3219805%40sema-api&new=3219805%40sema-api&sfp_email=&sfph_mail= · Nota
• https://twitter.com/CVEnew/status/1877315766862639311 · Publicação no Twitter
• https://wordpress.org/plugins/sema-api/#developers · Nota