PT-2025-7329 · WordPress · Lexicata

0Xd4Rk5Id3 + 1 · Publicado 2025-02-19 · Atualizado 2025-02-19 · CVE-2024-12069

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.1

Média

Vetor base

AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas Plugin Lexicata para WordPress versões até a 1.0.16, inclusive

Descrição O problema surge do uso de add query arg sem o devido escape na URL, levando a Cross-Site Scripting Refletido. Isso permite que atacantes não autenticados injetem scripts web arbitrários, que são executados quando um usuário realiza uma ação específica, como clicar em um link especialmente construído.

Recomendações Para versões até a 1.0.16, inclusive, atualize para uma versão superior a 1.0.16 para resolver o problema. Como solução temporária, considere restringir o acesso à função add query arg até que um patch esteja disponível. Evite usar a função add query arg em URLs até que o problema seja resolvido.

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2024-12069

Produtos afetados

Lexicata

Referências · 6

• https://t.me/cvenotify/111722 · Publicação no Telegram
• https://twitter.com/VulmonFeeds/status/1892256523746681326 · Publicação no Twitter
• https://wordfence.com/threat-intel/vulnerabilities/id/7541a595-aae4-49d2-862a-c1d1f4a1e6e5?source=cve · Nota
• https://twitter.com/CVEnew/status/1892119600734544382 · Publicação no Twitter
• https://wordpress.org/plugins/lexicata · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2024-12069 · Nota de Segurança