CVE-2024-3822
ŚrednieCVSS 4.8Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 51 - wyżej niż 51% wszystkich znanych CVE
Streszczenie
Wtyczka Base64 Encoder/Decoder dla WordPressa do wersji 0.9.2 nie oczyszcza ani nie koduje parametru przed wyświetleniem go na stronie, co prowadzi do odbitego ataku XSS, który może być wykorzystany przeciwko użytkownikom z wysokimi uprawnieniami, takim jak administrator.
Ocena ryzyka
Atakujący może wykraść sesję administratora lub wykonać szkodliwe działania w kontekście jego konta, np. zmienić ustawienia wtyczki lub dodać złośliwy kod.
Rekomendacja
Zaktualizuj wtyczkę do najnowszej wersji lub zastosuj tymczasowe zabezpieczenie, takie jak dodanie walidacji wejścia i kodowania wyjścia.
Oryginalny opis (angielski, źródło NVD)
The Base64 Encoder/Decoder WordPress plugin through 0.9.2 does not sanitise and escape a parameter before outputting it back in the page, leading to a Reflected Cross-Site Scripting which could be used against high privilege users such as admin