CVE-2022-50945
ŚrednieCVSS 6.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 12 - wyżej niż 12% wszystkich znanych CVE
Streszczenie
Wtyczka WordPress 3dady Real-Time Web Stats w wersji 1.0 zawiera podatność na trwałe XSS, umożliwiającą uwierzytelnionym atakującym wstrzyknięcie złośliwego JavaScriptu przez niesanitowane pola wejściowe. Atakujący mogą wstrzyknąć payload JavaScript w pola dady_input_text lub dady2_input_text w panelu opcji wtyczki, co prowadzi do wykonania kodu podczas przeglądania strony.
Ocena ryzyka
Ryzyko obejmuje wykonanie dowolnego kodu JavaScript w przeglądarce ofiary, co może prowadzić do kradzieży sesji, przejęcia konta lub innych złośliwych działań.
Rekomendacja
Zaleca się natychmiastową aktualizację wtyczki do najnowszej wersji lub jej usunięcie, jeśli nie jest dostępna łatka.
Oryginalny opis (angielski, źródło NVD)
WordPress 3dady Real-Time Web Stats plugin 1.0 contains a stored cross-site scripting vulnerability that allows authenticated attackers to inject malicious JavaScript by exploiting unsanitized input fields. Attackers can insert JavaScript payloads in the dady_input_text or dady2_input_text fields via the plugin options panel to execute arbitrary code when the page is viewed.