CVE-2023-6813

Plugin “Login by Auth0” para o WordPress, versões até a 4.6.0, inclusive

A vulnerabilidade está relacionada a um ataque de Cross-Site Scripting refletido (XSS) por meio do parâmetro wle, devido à sanitização insuficiente de entradas e à falta de escapamento de saídas. Isso permite que invasores não autenticados injetem scripts web arbitrários em páginas que serão executados caso consigam induzir um usuário a realizar uma ação, como clicar em um link. O parâmetro wle pode ser passado para a página de login do WordPress pelos usuários finais e, sob condições específicas, poderia aceitar uma string arbitrária que seria renderizada incorretamente, possibilitando um ataque de cross-site scripting (XSS) na página de login.

Para resolver o problema, atualize para a versão 4.6.1 do plugin Login by Auth0 para WordPress. Como solução temporária, considere restringir o uso do parâmetro wle para minimizar o risco de exploração. Evite usar o parâmetro wle na página de login afetada até que o problema seja resolvido.