PT-2024-11910

CVE-2022-4973

Publicado

2024-10-15

Atualizado

2024-10-30

Descrição por

CVSS 3.1

5.4

Média

MétricasAV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N

Nome do software vulnerável e versões afetadas

Versões do WordPress Core até a 6.0.2

Descrição

A vulnerabilidade permite que usuários com acesso ao editor de posts e páginas do WordPress, normalmente Autores, Colaboradores e Editores, injetem scripts web arbitrários em posts e páginas. Esses scripts são executados se a função the meta() for chamada nessa página. Isso pode ser explorado por usuários com acesso ao editor, possibilitando a injeção de scripts maliciosos.

Recomendações

Para versões do WordPress Core até a 6.0.2, atualize para uma versão posterior à 6.0.2 para resolver o problema. Como solução temporária, considere restringir o acesso ao editor de posts e páginas para minimizar o risco de exploração. Além disso, evite usar a função the meta() até que o problema seja resolvido.

Explorabilidade

Exploit

Correção

Impactos

Pesquisadores

John Blackbourn

Khalilov Moe

Fornecedores

Produtos afetados

Enumeração de fraquezas

CWE-79: Improper Neutralization of Input During Web Page Generation (\'Cross-site Scripting\')

Identificadores relacionados