PT-2025-39244 · WordPress · Schema & Structured Data For Wp & Amp
CVSS v3.1
6.1
Média
| Vetor | AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N |
Nome do Software Vulnerável e Versões Afetadas
Schema & Structured Data for WP & AMP versões anteriores à 1.50
Descrição
O plugin WordPress Schema & Structured Data for WP & AMP não manipula corretamente as modificações de atributos de tags HTML. Isso permite que atacantes não autenticados realizem ataques de Cross-Site Scripting (XSS) Armazenado via comentários de posts. A questão envolve substituições por expressões regulares excessivamente gananciosas que contornam a sanitização de HTML, permitindo a injeção de scripts maliciosos. A exploração envolve criar um payload que começa dentro do valor de um atributo e termina em outro, transformando HTML sanitizado em payloads exploráveis via XSS por meio de manipuladores de eventos ou URLs
javascript:.Recomendações
Atualize o Schema & Structured Data for WP & AMP para a versão 1.50 ou posterior.
Exploit
Correção
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Schema & Structured Data For Wp & Amp