PT-2025-21395 · WordPress · Jetpack+1

Marc Montpas · Publicado 2025-05-15 · Atualizado 2025-05-20 · CVE-2024-10076

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.9

Média

Vetor base

AV:N/AC:L/PR:H/UI:R/S:C/C:L/I:L/A:L

Nome do Software Vulnerável e Versões Afetadas: Versões do plugin Jetpack para WordPress anteriores à 13.8 Versões do plugin Jetpack Boost para WordPress anteriores à 3.4.8

Descrição: A questão envolve o uso de expressões regulares nos recursos do Site Accelerator dos plugins Jetpack e Jetpack Boost para WordPress ao substituir URLs de imagens por seus equivalentes na CDN. Algumas dessas expressões regulares podem corresponder a padrões que não deveriam, tornando possível que usuários com a função de colaborador ou superior realizem ataques de XSS Armazenado.

Recomendações: Para versões do plugin Jetpack para WordPress anteriores à 13.8, atualize para a versão 13.8 ou posterior. Para versões do plugin Jetpack Boost para WordPress anteriores à 3.4.8, atualize para a versão 3.4.8 ou posterior.

Exploit

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2024-10076

Produtos afetados

Jetpack

Jetpack Boost

Referências · 5

• 🔥 https://wpscan.com/vulnerability/15f278f6-0418-4c83-b925-b1a2d8c53e2f · Exploit
• https://nvd.nist.gov/vuln/detail/CVE-2024-10076 · Nota de Segurança
• https://twitter.com/CVEnew/status/1923600451670335648 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2024-10076 · Aviso do Fabricante
• https://t.me/cvenotify/123076 · Publicação no Telegram