CVE-2023-4282
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 33 - wyżej niż 33% wszystkich znanych CVE
Streszczenie
Wtyczka EmbedPress dla WordPressa jest podatna na nieautoryzowaną utratę danych z powodu braku sprawdzenia uprawnień w funkcjach 'admin_post_remove' i 'remove_private_data' w wersjach do 3.8.2 włącznie. Umożliwia to uwierzytelnionym atakującym z uprawnieniami subskrybenta lub wyższymi usunięcie ustawień wtyczki.
Ocena ryzyka
Organizacja może stracić ważne dane konfiguracyjne wtyczki, co może prowadzić do zakłóceń w działaniu strony internetowej lub utraty funkcjonalności.
Rekomendacja
Zaleca się aktualizację wtyczki EmbedPress do najnowszej wersji, aby usunąć tę podatność oraz wprowadzenie dodatkowych kontroli uprawnień dla funkcji związanych z usuwaniem danych.
Inne podatności w EmbedPress plugin for WordPress
Zobacz wszystkie- CVE-2023-4283Średnie
Wtyczka EmbedPress dla WordPressa jest podatna na przechowywane ataki Cross-Site Scripting (XSS) poprzez shortcode 'embedpress_calendar' w wersjach do 3.8.2 włącznie, z powodu niewystarczającej sanitizacji wejścia i ucieczki wyjścia dla atrybutów dostarczanych przez użytkowników.
- CVE-2023-3371Średnie
Wtyczka EmbedPress dla WordPressa jest podatna na ujawnienie wrażliwych informacji z powodu twardo zakodowanego klucza szyfrującego w funkcjach 'lock_content_form_handler' oraz 'display_password_form' w wersjach do 3.7.3 włącznie. Umożliwia to nieautoryzowanym atakującym odszyfrowanie i przeglądanie treści chronionej hasłem.
Oryginalny opis (angielski, źródło NVD)
The EmbedPress plugin for WordPress is vulnerable to unauthorized loss of data due to a missing capability check on the 'admin_post_remove' and 'remove_private_data' functions in versions up to, and including, 3.8.2. This makes it possible for authenticated attackers with subscriber privileges or above, to delete plugin settings.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS