CVE-2022-50970
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 7 - wyżej niż 7% wszystkich znanych CVE
Streszczenie
Wtyczka WordPress AAWP w wersji 3.16 zawiera odbitą podatność XSS, która pozwala uwierzytelnionym atakującym na wstrzyknięcie złośliwych skryptów poprzez manipulację parametrem tab. Atakujący mogą tworzyć adresy URL z ładunkiem XSS w parametrze tab strony ustawień aawp-settings, aby wykonać dowolny JavaScript w kontekście uwierzytelnionych użytkowników.
Ocena ryzyka
Uwierzytelniony atakujący może wykonać dowolny JavaScript w przeglądarce innych uwierzytelnionych użytkowników, co może prowadzić do kradzieży sesji, defacementu lub dalszych ataków.
Rekomendacja
Zaktualizuj wtyczkę AAWP do wersji nowszej niż 3.16, która zawiera poprawkę na odbite XSS.
Oryginalny opis (angielski, źródło NVD)
WordPress Plugin AAWP 3.16 contains a reflected cross-site scripting vulnerability that allows authenticated attackers to inject malicious scripts by manipulating the tab parameter. Attackers can craft URLs with XSS payloads in the tab parameter of the aawp-settings admin page to execute arbitrary JavaScript in the context of authenticated users.