PT-2020-17355
CVE-2020-35589
·
Publicado
2020-12-21
·
Atualizado
2020-12-22
Descrição por
CVSS 3.1
5.4
MédiaMétricasAV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N
Nome do software vulnerável e versões afetadas
Versões do plugin
limit-login-attempts-reloaded anteriores à 2.17.4 para WordPressDescrição
A vulnerabilidade permite que um usuário mal-intencionado faça com que um usuário administrador forneça conteúdo perigoso à página vulnerável, que é então refletido de volta ao usuário e executado pelo navegador da web. O mecanismo mais comum para entregar conteúdo malicioso é incluí-lo como um parâmetro em uma URL publicada publicamente ou enviada diretamente por e-mail às vítimas. Isso ocorre por meio do endpoint da API “wp-admin/options-general.php?page=limit-login-attempts&tab=”.
Recomendações
Para versões do plugin limit-login-attempts-reloaded anteriores à 2.17.4, atualize para a versão 2.17.4 ou posterior para resolver o problema. Como solução temporária, considere restringir o acesso ao endpoint “wp-admin/options-general.php?page=limit-login-attempts&tab=” até que um patch seja aplicado. Evite usar este endpoint com entradas não confiáveis para minimizar o risco de exploração.
Explorabilidade
Exploit
Correção
Impactos
Fornecedores
Produtos afetados
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾