Se ha detectado una vulnerabilidad en WordPress Core que posibilita un ataque de Cross-Site Scripting vía Avatar Block.
Análisis
WordPress Core es vulnerable a Stored Cross-Site Scripting a través de nombres de usuario en el bloque Avatar en varias versiones hasta la 6.5.2 debido a un escape de salida insuficiente en el nombre de usuario. Esto hace posible que atacantes autenticados, con acceso a nivel de colaborador y superior, inyecten scripts web arbitrarios en páginas que se ejecutarán cada vez que un usuario acceda a una página inyectada. Además, también hace posible que atacantes no autenticados inyecten scripts web arbitrarios en páginas que tengan el bloque de comentarios presente y muestren el avatar del autor del comentario.
A esta vulnerabilidad se le ha asignado el siguiente código de puntuación, puntuación base CVSS v3.1 y vector del CVSS:
- CVE-2024-4439: 7.2 | CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:L/I:L/A:N
Recursos afectados
Las versiones afectadas son:
- 6.0 – 6.0.7
- 6.1 – 6.1.5
- 6.2 – 6.2.4
- 6.3 – 6.3.3
- 6.4 – 6.4.3
- 6.5 – 6.5.1
Recomendaciones
Actualizar a una de las siguientes versiones, o a una versión parcheada más reciente: 6.0.8, 6.1.6, 6.2.5, 6.3.4, 6.4.4, 6.5.2
Referencias