Karim El Ouerghemmi

Usuários autenticados com privilégios baixos, como autores, no núcleo do WordPress podem executar JavaScript e realizar um ataque XSS armazenado, o que pode afetar usuários com privilégios elevados.

O problema diz respeito a um sistema de gerenciamento de conteúdo gratuito e de código aberto, escrito em PHP e associado a um banco de dados MariaDB. Em um ambiente multisite, usuários com a função de Superadministrador podem contornar medidas de segurança explícitas/adicionais sob certas condições por meio da injeção de objetos.

**Nome do software vulnerável e versões afetadas: Versões do WordPress anteriores à 5.5.2 Descrição: O problema está relacionado a um controle de acesso insuficiente em certos recursos do sistema de gerenciamento de conteúdo WordPress. Isso pode ser explorado por um invasor remoto para comprometer a integridade dos dados. O problema envolve, especificamente, o tratamento inadequado de incorporações provenientes de sites desativados em uma rede multisite, permitindo a incorporação de spam. Recomendações: Para versões do WordPress anteriores à 5.5.2, atualize para a versão 5.5.2 ou posterior para resolver o problema. Como solução temporária, considere restringir o acesso a incorporações de sites desativados em uma rede multisite para minimizar o risco de exploração.

**Nome do software vulnerável e versões afetadas: Versões do WordPress anteriores à 5.5.2 Descrição: O problema está relacionado a medidas de proteção insuficientes para as estruturas das páginas da web no sistema de gerenciamento de conteúdo WordPress. Isso pode ser explorado por um invasor remoto para comprometer a integridade dos dados. A vulnerabilidade permite XSS armazenado por meio de slugs de postagem. Recomendações: Para versões anteriores à 5.5.2, atualize para a versão 5.5.2 ou posterior para resolver o problema. Como solução temporária, considere restringir o acesso à edição de slugs de postagem para minimizar o risco de exploração.