CVE-2024-13599

Nome do Software Vulnerável e Versões Afetadas LearnPress – Plugin WordPress LMS versões até e incluindo a 4.2.7.5

Descrição A questão está relacionada ao Cross-Site Scripting Armazenado devido à sanitização de entrada e escape de saída insuficientes do nome de uma lição. Isso permite que atacantes autenticados com acesso de nível LP Instructor ou superior injetem scripts web arbitrários em páginas, os quais serão executados sempre que um usuário acessar uma página injetada.

Recomendações Para versões até e incluindo a 4.2.7.5, atualize para uma versão superior à 4.2.7.5 para resolver o problema. Como medida paliativa temporária, considere restringir o acesso à edição do nome da lição para usuários com acesso de nível LP Instructor ou superior até que uma correção esteja disponível. Evite utilizar a variável lesson name nas páginas afetadas até que a questão seja resolvida.