PT-2020-12655 · WordPress · Wp Lead Plus X
CVE-2020-11508
·
Publicado
2020-04-07
·
Atualizado
2024-10-19
CVSS v3.1
5.4
Média
| Vetor | AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N |
Nome do software vulnerável e versões afetadas
Versões do plugin WP Lead Plus X até a 0.98
Descrição
A vulnerabilidade permite que usuários conectados com permissões mínimas criem ou substituam páginas existentes por uma página maliciosa contendo JavaScript arbitrário por meio da ação AJAX “wp ajax core37 lp save page” (também conhecida como “core37 lp save page”).
Recomendações
Para as versões do plugin WP Lead Plus X até a 0.98, considere desativar a função
wp ajax core37 lp save page até que um patch esteja disponível para impedir a exploração.Exploit
Correção
XSS
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Wp Lead Plus X