PT-2025-1980 · WordPress · Ethereumico
CVSS v3.1
6.4
Média
| Vetor | AV:N/AC:L/PR:L/UI:N/S:C/C:L/I:L/A:N |
Nome do Software Vulnerável e Versões Afetadas
Plugin EthereumICO para WordPress versões até e incluindo a 2.4.6
Descrição
O problema está relacionado a Cross-Site Scripting Armazenado via shortcode
ethereum-ico do plugin, devido à sanitização de entrada e escape de saída insuficientes em atributos fornecidos pelo usuário, como username ou outra entrada do usuário. Isso permite que atacantes autenticados com acesso de nível de colaborador ou superior injetem scripts web arbitrários em páginas que serão executados sempre que um usuário acessar uma página injetada, potencialmente através de endpoints de API como "/wp-admin/admin.php" ou "/wp-content/plugins/ethereum-ico/".Recomendações
Para o plugin EthereumICO para WordPress versões até e incluindo a 2.4.6, atualize para uma versão superior à 2.4.6 para resolver o problema.
Como solução alternativa temporária, considere desativar o shortcode
ethereum-ico até que uma correção esteja disponível.
Restrinja o acesso às páginas que usam o shortcode ethereum-ico para minimizar o risco de exploração.
Evite usar o shortcode ethereum-ico em páginas até que o problema seja resolvido.Correção
XSS
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Ethereumico