CVE-2023-4035
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 29 - wyżej niż 29% wszystkich znanych CVE
Streszczenie
Wtyczka Simple Blog Card dla WordPressa w wersjach przed 1.31 nie waliduje i nie ucieka niektórych atrybutów shortcode przed ich wyświetleniem na stronie lub w poście, co może umożliwić użytkownikom z rolą współpracownika i wyżej przeprowadzenie ataków typu Stored Cross-Site Scripting.
Ocena ryzyka
Atakujący może wykorzystać tę podatność do wstrzyknięcia złośliwego kodu JavaScript, co może prowadzić do kradzieży danych użytkowników lub przejęcia sesji.
Rekomendacja
Zaleca się aktualizację wtyczki Simple Blog Card do wersji 1.31 lub nowszej, aby zlikwidować tę podatność.
Oryginalny opis (angielski, źródło NVD)
The Simple Blog Card WordPress plugin before 1.31 does not validate and escape some of its shortcode attributes before outputting them back in a page/post where the shortcode is embed, which could allow users with the contributor role and above to perform Stored Cross-Site Scripting attacks