CVE-2024-8861

Nome do software vulnerável e versões afetadas:

ProfileGrid – plugin de perfis de usuário, grupos e comunidades para o WordPress, versões até a 5.9.3.2, inclusive

Descrição:

O problema está relacionado a Stored Cross-Site Scripting devido ao uso incorreto da função wp kses allowed html. Essa função permite o atributo onclick para determinados elementos HTML sem restrição suficiente ou validação de contexto, possibilitando que invasores autenticados com acesso de nível Contribuidor ou superior injetem scripts web arbitrários nas páginas. Esses scripts serão executados sempre que um usuário acessar uma página injetada.

Recomendações:

Para versões até e incluindo a 5.9.3.2, atualize para uma versão superior à 5.9.3.2 para resolver o problema. Como solução temporária, considere restringir o acesso à função wp kses allowed html ou desativar o atributo onclick para determinados elementos HTML até que um patch esteja disponível. Além disso, restrinja o acesso de nível Contribuidor e superior para minimizar o risco de exploração.