CVE-2024-6870

O plugin Responsive Lightbox & Gallery para o WordPress, versões até a 2.4.7, inclusive

O problema está relacionado a Stored Cross-Site Scripting (XSS) por meio de uploads de arquivos, devido à sanitização insuficiente de entradas e à falta de escapamento de saídas, afetando o endpoint AJAX “rl upload image”. Isso permite que invasores autenticados com acesso de nível de Autor ou superior injetem scripts web arbitrários em páginas que serão executados sempre que um usuário acessar o arquivo 3gp2.

Para versões até a 2.4.7, inclusive, atualize o plugin para a versão corrigida mais recente imediatamente para resolver o problema. Como solução temporária, considere restringir o acesso ao endpoint AJAX “rl upload image” até que uma correção esteja disponível. Além disso, restringir o upload de arquivos apenas aos usuários necessários pode ajudar a minimizar o risco de exploração.