CVE-2024-5212

Plugin tagDiv Composer para o WordPress, versões até a 5.0, inclusive

A vulnerabilidade está relacionada a Cross-Site Scripting refletido (XSS) por meio do parâmetro envato code[], devido à sanitização insuficiente de entradas e à falta de escapamento de saídas na função on ajax register forum user. Isso permite que invasores não autenticados injetem scripts web arbitrários em páginas, os quais serão executados caso consigam induzir um usuário a realizar uma ação, como clicar em um link.

Para versões até e incluindo a 5.0, considere desativar a função on ajax register forum user até que um patch esteja disponível. Restrinja o acesso ao parâmetro envato code[] para minimizar o risco de exploração. Evite usar o parâmetro envato code[] em pontos de extremidade da API afetados até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.