BDU:2021-03857

Опубликовано: 01 июн. 2021

Источник: fstec

CVSS3: 5.4

CVSS2: 7

EPSS Низкий

Описание

Уязвимость параметров unsplash_download_w и unsplash_download_h плагина Instant Images One Click - Unsplash Uploads системы управления содержимым сайта WordPress связана с непринятием мер по защите структуры веб-страницы. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, осуществлять межсайтовые сценарные атаки

Вендор

WordPress Foundation

Наименование ПО

WordPress

Версия ПО

до 4.4.0.1 (WordPress)

Тип ПО

Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 7)

Средний уровень опасности (базовая оценка CVSS 3.0 составляет 5,2)

Возможные меры по устранению уязвимости

Использование рекомендаций:

https://wpscan.com/vulnerability/ae79189a-6b63-4110-9567-cd7c97d71e4f

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует в открытом доступе

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2021-24334
CVE

EPSS

Процентиль: 45%

0.00222

Низкий

5.4 Medium

CVSS3

7 High

CVSS2

Связанные уязвимости

CVE-2021-24334

CVSS3: 5.4

nvd

около 4 лет назад

The Instant Images – One Click Unsplash Uploads WordPress plugin before 4.4.0.1 did not properly validate and sanitise its unsplash_download_w and unsplash_download_h parameter settings (/wp-admin/upload.php?page=instant-images), only validating them client side before saving them, leading to a Stored Cross-Site Scripting issue.

GHSA-wfh8-qv3m-93p3

github

около 3 лет назад

The Instant Images â€“ One Click Unsplash Uploads WordPress plugin before 4.4.0.1 did not properly validate and sanitise its unsplash_download_w and unsplash_download_h parameter settings (/wp-admin/upload.php?page=instant-images), only validating them client side before saving them, leading to a Stored Cross-Site Scripting issue.