CVE-2022-1009

Versões do plugin Smush para WordPress anteriores à 3.9.9

O problema decorre do fato de o plugin Smush para WordPress não sanitizar nem escapar um parâmetro de configuração antes de exibi-lo novamente em uma página de administração ao carregar uma configuração predefinida maliciosa, levando a um ataque de Cross-Site Scripting refletido. Para que o ataque seja bem-sucedido, um invasor precisaria que um administrador enviasse um arquivo de configuração malicioso.

Para versões anteriores à 3.9.9, atualize para a versão 3.9.9 ou posterior para resolver o problema. Como solução temporária, considere restringir o acesso à página de administração onde o parâmetro de configuração é exibido para minimizar o risco de exploração. Evite enviar arquivos de configuração não confiáveis para prevenir possíveis ataques.