PT-2020-10061
CVE-2019-19134
·
Publicado
2020-02-26
·
Atualizado
2020-02-27
Descrição por
CVSS 3.1
6.1
MédiaMétricasAV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N
Nome do software vulnerável e versões afetadas
Plugin Hero Maps Premium, versões 2.2.1 e anteriores
Descrição
A vulnerabilidade está relacionada à sanitização insuficiente de entradas fornecidas pelo usuário, levando a um XSS não autenticado. Um invasor pode injetar HTML ou JavaScript arbitrário no navegador de um usuário desavisado no contexto do site afetado, permitindo potencialmente que o invasor roube tokens baseados em cookies ou lance outros ataques.
Recomendações
Para as versões 2.2.1 e anteriores do plugin Hero Maps Premium, considere desativar o acesso à página views/dashboard/index.php ou restringir o uso do parâmetro
p até que uma correção esteja disponível. Como solução temporária, evite usar o parâmetro p no endpoint da API afetado até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.Explorabilidade
Exploit
Impactos
Fornecedores
Produtos afetados
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾