CVE-2024-1282
ŚrednieCVSS 6.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 36 - wyżej niż 36% wszystkich znanych CVE
Streszczenie
Wtyczka Email Encoder – Protect Email Addresses and Phone Numbers dla WordPress do wersji 2.2.0 włącznie jest podatna na Stored Cross-Site Scripting przez shortcode'y z powodu niedostatecznego oczyszczania danych wejściowych i braku kodowania wyjścia. Uwierzytelnieni atakujący z uprawnieniami przynajmniej contributora mogą wstrzykiwać dowolne skrypty, które wykonają się przy odwiedzeniu strony.
Ocena ryzyka
Atakujący może wykraść sesje użytkowników, przekierować ich na złośliwe strony lub wykraść dane.
Rekomendacja
Zaktualizuj wtyczkę do najnowszej wersji i ogranicz uprawnienia contributorów.
Inne podatności w WordPress
Zobacz wszystkie- CVE-2012-6707Wysokie
WordPress w wersjach do 4.8.2 wykorzystuje słaby algorytm haszowania haseł oparty na MD5, co ułatwia atakującym określenie wartości w postaci czystego tekstu poprzez dostęp do wartości haszy.
- CVE-2017-9066Wysokie
W WordPressie przed wersją 4.7.5 występuje niewystarczająca walidacja przekierowań w klasie HTTP, co prowadzi do podatności na SSRF.
- CVE-2017-9065Wysokie
W WordPressie przed wersją 4.7.5 brakuje kontroli uprawnień dla metadanych postów w API XML-RPC.
- CVE-2017-9064Wysokie
W WordPressie przed wersją 4.7.5 występuje podatność na Cross Site Request Forgery (CSRF) w dialogu poświadczeń systemu plików, ponieważ nie wymaga on nonce do aktualizacji poświadczeń.
- CVE-2017-9062Wysokie
W WordPressie przed wersją 4.7.5 występuje niewłaściwe przetwarzanie wartości metadanych postów w API XML-RPC.
- CVE-2016-6896Wysokie
Podatność typu directory traversal w funkcji wp_ajax_update_plugin w WordPressie 4.5.3 pozwala zdalnym, uwierzytelnionym użytkownikom na wywołanie odmowy usługi lub odczytanie określonych plików tekstowych poprzez wykorzystanie parametru .. (kropka kropka) w żądaniu do wp-admin/admin-ajax.php.
- CVE-2017-5489Wysokie
Podatność CSRF w WordPressie przed wersją 4.7.1 umożliwia zdalnym atakującym przejęcie uwierzytelnienia nieokreślonych ofiar poprzez wykorzystanie wektorów związanych z przesyłaniem plików Flash.
- CVE-2016-4029Wysokie
WordPress przed wersją 4.5 nie uwzględnia formatów adresów IP w systemie ósemkowym i szesnastkowym przy określaniu adresu intranetowego, co pozwala zdalnym atakującym na obejście zamierzonego mechanizmu ochrony SSRF za pomocą spreparowanego adresu.
- CVE-2016-5839Wysokie
WordPress w wersjach przed 4.5.3 umożliwia zdalnym atakującym ominięcie mechanizmu ochrony sanitize_file_name za pomocą nieokreślonych wektorów.
- CVE-2016-5838Wysokie
WordPress w wersjach przed 4.5.3 pozwala zdalnym atakującym na obejście zamierzonych ograniczeń zmiany hasła poprzez wykorzystanie wiedzy o ciasteczku.
Oryginalny opis (angielski, źródło NVD)
The Email Encoder – Protect Email Addresses and Phone Numbers plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the plugin's shortcode(s) in all versions up to, and including, 2.2.0 due to insufficient input sanitization and output escaping on user supplied attributes. This makes it possible for authenticated attackers with contributor-level and above permissions to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS