PT-2022-13194 · WordPress · The Menu Image
CVSS v3.1
5.4
Média
| Vetor | AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N |
Nome do software vulnerável e versões afetadas
Plugin “Menu Image, Icons made easy” para WordPress, versão 3.0.6 e anteriores
Descrição
O problema decorre da falta de verificações de autorização e CSRF ao salvar as configurações do menu. Além disso, as configurações não são validadas, sanitizadas nem escapadas. Isso permite que qualquer usuário autenticado, como um assinante, atualize configurações ou menus arbitrários e insira cargas de Cross-Site Scripting. Essas cargas serão acionadas no menu relacionado no front-end.
Recomendações
Para versões anteriores à 3.0.6, atualize para a versão 3.0.6 ou posterior para resolver o problema. Como solução temporária, considere restringir o acesso às configurações do menu apenas a usuários confiáveis até que a atualização seja aplicada. Evite usar a funcionalidade vulnerável do plugin até que o problema seja resolvido.
Exploit
Correção
Improper Encoding or Escaping of Output
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
The Menu Image