CVE-2023-3053
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 39 - wyżej niż 39% wszystkich znanych CVE
Streszczenie
Wtyczka Page Builder by AZEXO dla WordPressa jest podatna na nieautoryzowaną modyfikację danych z powodu braku sprawdzenia uprawnień w funkcji 'azh_add_post' w wersjach do 1.27.133 włącznie. Umożliwia to uwierzytelnionym atakującym tworzenie postów dowolnego typu i statusu.
Ocena ryzyka
Organizacja może być narażona na nieautoryzowane zmiany w treści postów, co może prowadzić do dezinformacji lub usunięcia ważnych danych.
Rekomendacja
Zaleca się aktualizację wtyczki Page Builder by AZEXO do najnowszej wersji, aby usunąć tę podatność.
Inne podatności w Page Builder by AZEXO plugin for WordPress
Zobacz wszystkie- CVE-2023-3055Średnie
Wtyczka Page Builder by AZEXO dla WordPressa jest podatna na atak Cross-Site Request Forgery w wersjach do 1.27.133 włącznie. Problem wynika z braku lub nieprawidłowej walidacji nonce w funkcji 'azh_save', co umożliwia nieautoryzowanym atakującym aktualizację treści postów oraz wstrzykiwanie złośliwego JavaScriptu.
- CVE-2023-3052Średnie
Wtyczka Page Builder by AZEXO dla WordPressa jest podatna na atak typu Cross-Site Request Forgery w wersjach do 1.27.133 włącznie. Problem wynika z braku lub nieprawidłowej walidacji nonce w funkcjach 'azh_add_post', 'azh_duplicate_post', 'azh_update_post' oraz 'azh_remove_post'.
- CVE-2023-3051Średnie
Wtyczka Page Builder by AZEXO dla WordPressa jest podatna na przechowywane ataki Cross-Site Scripting (XSS) poprzez shortcode 'azh_post' w wersjach do 1.27.133 włącznie, z powodu niewystarczającej sanitizacji wejścia i ucieczki wyjścia.
Oryginalny opis (angielski, źródło NVD)
The Page Builder by AZEXO plugin for WordPress is vulnerable to unauthorized modification of data due to a missing capability check on the 'azh_add_post' function in versions up to, and including, 1.27.133. This makes it possible for authenticated attackers to create a post with any post type and post status.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS