CVE-2021-47948
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 7 - wyżej niż 7% wszystkich znanych CVE
Streszczenie
Wtyczka WordPress GetPaid w wersji 2.4.6 zawiera podatność na wstrzyknięcie HTML, która pozwala uwierzytelnionym atakującym na wstrzyknięcie dowolnego kodu HTML poprzez pole Help Text w formularzach płatności. Atakujący mogą wstrzyknąć złośliwy HTML, w tym tagi obrazków i skrypty, do pola Help Text podczas tworzenia formularza płatności, który jest przechowywany w bazie danych i wykonywany w przeglądarce podczas wyświetlania formularza.
Ocena ryzyka
Uwierzytelniony atakujący może wstrzyknąć złośliwy HTML, który zostanie wykonany w przeglądarkach odwiedzających, co może prowadzić do kradzieży danych, phishingu lub dalszych ataków XSS.
Rekomendacja
Zaktualizuj wtyczkę GetPaid do wersji nowszej niż 2.4.6, która zawiera poprawkę na wstrzyknięcie HTML.
Oryginalny opis (angielski, źródło NVD)
WordPress GetPaid Plugin 2.4.6 contains an HTML injection vulnerability that allows authenticated attackers to inject arbitrary HTML code by exploiting the Help Text field in payment forms. Attackers can inject malicious HTML including image tags and scripts into the Help Text field during payment form creation, which gets stored in the database and executed in the browser when the form is viewed.