PT-2021-16119
CVE-2021-24604
·
Publicado
2021-09-20
·
Atualizado
2021-10-02
Descrição por
CVSS 3.1
4.8
MédiaMétricasAV:N/AC:L/PR:H/UI:R/S:C/C:L/I:L/A:N
Nome do software vulnerável e versões afetadas
Versões do plugin Availability Calendar para WordPress anteriores à 1.2.2
Descrição
A vulnerabilidade permite que usuários com privilégios elevados realizem ataques de Cross-Site Scripting devido à falta de sanitização ou escapamento dos nomes de categorias antes de exibi-los em páginas ou posts onde o shortcode associado está incorporado. Isso é possível mesmo quando o
unfiltered html está desativado.Recomendações
Para versões anteriores à 1.2.2, atualize para a versão 1.2.2 ou posterior para resolver o problema. Como solução temporária, considere restringir o uso do recurso
Nomes de Categorias no plugin Availability Calendar para WordPress até que um patch esteja disponível.Explorabilidade
Exploit
Correção
Impactos
Pesquisadores
Fornecedores
Produtos afetados
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾