PT-2022-14237

CVE-2022-1985

Publicado

2022-06-13

Atualizado

2024-01-11

Descrição por

CVSS 3.1

6.1

Média

MétricasAV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

Nome do software vulnerável e versões afetadas

Plugin Download Manager para o WordPress, versões até a 3.2.42, inclusive

Descrição

A vulnerabilidade está relacionada a um ataque de Cross-Site Scripting refletido, devido à sanitização insuficiente de entradas e à falta de escapamento de saídas no parâmetro frameid, localizado no arquivo ~/src/Package/views/shortcode-iframe.php.

Recomendações

Para versões até a 3.2.42, inclusive, considere desativar o parâmetro frameid no arquivo ~/src/Package/views/shortcode-iframe.php como uma solução temporária até que um patch esteja disponível. Restrinja o acesso ao arquivo ~/src/Package/views/shortcode-iframe.php para minimizar o risco de exploração. Evite usar o parâmetro frameid no endpoint afetado até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Explorabilidade

Exploit

Impactos

Pesquisadores

M0Ze

Rafie Muhammad

v3xx

Fornecedores

Produtos afetados

Enumeração de fraquezas

CWE-79: Improper Neutralization of Input During Web Page Generation (\'Cross-site Scripting\')

Identificadores relacionados