PT-2020-12656 · WordPress · Wp Lead Plus X
CVE-2020-11509
·
Publicado
2020-04-07
·
Atualizado
2024-10-19
CVSS v3.1
6.1
Média
| Vetor | AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N |
Nome do software vulnerável e versões afetadas
Versões do plugin WP Lead Plus X até a 0.98
Descrição
A vulnerabilidade permite que invasores remotos enviem modelos de página contendo código JavaScript arbitrário por meio da ação de postagem administrativa “c37 wpl import template”. Esse código JavaScript será executado no navegador do administrador se o modelo for usado para criar uma página.
Recomendações
Para as versões do plugin WP Lead Plus X até a 0.98, considere desativar a ação de postagem administrativa
c37 wpl import template até que um patch esteja disponível para impedir o upload de modelos maliciosos. Restrinja o acesso ao recurso de criação de modelos para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.Exploit
XSS
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Wp Lead Plus X