WordPress bővítmények sérülékenységei

CH azonosító

Angol cím

Felfedezés dátuma

Súlyosság

Érintett rendszerek

Érintett verziók

WooCommerce 2.2.10-es és az előtti verziók
Contact Form DB 2.8.26
Google Doc Embedder 2.5.19 előtti verziói

Összefoglaló

A WordPress több kiegészítője olyan sebezhetőségeket rejt, amely XSS-alapú támadásokat segíthet elő.

Leírás

A WooCommerce sérülékenységét a wp-admin/admin.php?page=wc-reports URL, illetve az utána fűzött paraméterek esetenkénti nem megfelelő ellenőrzése és feldolgozása okozza. 

A Contact Form DB plugin sebezhetőségét a wp-admin/admin.php CF7DBPluginSubmissions oldal ‘submit_time’ paramétere okozza.

A Google Doc Embedder kiegészítő sérülékenysége kihasználható wp-admin/options-general.php gde-settings oldal ‘profile’ paraméter hibás feldolgozásával.

A sérülékenységek kihasználásával tetszőleges HTML és script kódok válhatnak lefuttathatóvá.

Megoldás

Támadás típusa

Szükséges hozzáférés

Hivatkozások

CVE-2015-2040 - NVD CVE-2015-2040
CVE-2015-1879 - NVD CVE-2015-1879
Gyártói referencia: wordpress.org
Gyártói referencia: wordpress.org
Gyártói referencia: wordpress.org
Egyéb referencia: packetstormsecurity.com
Egyéb referencia: xforce.iss.net
Egyéb referencia: packetstormsecurity.com
Egyéb referencia: www.securityfocus.com
Egyéb referencia: isbk.hu