PT-2025-42672 · WordPress · Async Javascript

Mikey Veenstra · Publicado 2025-10-18 · Atualizado 2025-10-18 · CVE-2020-36854

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.4

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:C/C:L/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas Plugin Async JavaScript para WordPress versões anteriores a 2.19.07.14

Descrição O software é suscetível a Cross-Site Scripting Armazenado (Stored Cross-Site Scripting) devido à ausência de verificações de autorização na ação AJAX aj steps e à sanitização insuficiente das configurações salvas por meio de uma função. Isso permite que atacantes autenticados com permissões de nível de assinante ou superiores injetem scripts web maliciosos em uma página. Esses scripts serão executados sempre que um usuário acessar a página afetada.

Recomendações Atualize para uma versão posterior a 2.19.07.14.

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2020-36854

Produtos afetados

Async Javascript

Referências · 6

• https://nvd.nist.gov/vuln/detail/CVE-2020-36854 · Nota de Segurança
• https://wordfence.com/threat-intel/vulnerabilities/id/b133888c-7673-4796-917c-486bff1b6b12?source=cve · Nota
• https://twitter.com/CVEnew/status/1979395069519237582 · Publicação no Twitter
• https://t.me/CVEtracker/35250 · Publicação no Telegram
• https://t.me/cveNotify/139308 · Publicação no Telegram
• https://wordfence.com/blog/2020/02/site-takeover-campaign-exploits-multiple-zero-day-vulnerabilities · Nota