PT-2025-1942 · WordPress · User Profile Builder

Brian Mungah + 1 · Publicado 2025-01-07 · Atualizado 2025-01-07 · CVE-2024-12738

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.1

Média

Vetor base

AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas User Profile Builder – plugin de Formulares de Registro de Usuário, Perfis de Usuário e Editor de Funções de Usuário para WordPress, versões até e incluindo a 3.12.9

Descrição O problema está relacionado a cross-site scripting (XSS) armazenado, que ocorre devido à sanitização insuficiente de entrada e escape de saída de vários parâmetros de metadados do usuário. Isso permite que atacantes não autenticados injetem scripts web arbitrários nas páginas, os quais serão executados quando um usuário acessar uma página injetada e clicar em um link para exibir os metadados do usuário.

Recomendações Para versões até e incluindo a 3.12.9, atualize para uma versão superior à 3.12.9 para resolver o problema. Como solução alternativa temporária, considere restringir o acesso aos parâmetros de metadados do usuário até que uma correção esteja disponível.

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2024-12738

Produtos afetados

User Profile Builder

Referências · 7

• https://plugins.trac.wordpress.org/browser/profile-builder/tags/3.12.8/features/email-confirmation/class-email-confirmation.php#L95 · Nota
• https://t.me/cvedetector/14539 · Publicação no Telegram
• https://twitter.com/CVEnew/status/1876621353693950133 · Publicação no Twitter
• https://plugins.trac.wordpress.org/browser/profile-builder/tags/3.12.8/features/email-confirmation/class-email-confirmation.php · Nota
• https://wordfence.com/threat-intel/vulnerabilities/id/51b626e1-89c0-49b9-bfeb-32005e8e78d6?source=cve · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2024-12738 · Nota de Segurança
• https://plugins.trac.wordpress.org/changeset/3217544 · Nota