EmbedPress – 在 Gutenberg Block 和 Elementor <= 4.1.3 中嵌入 PDF、3D Flipbook、社交信息流、Google Docs、Vimeo、Wistia、YouTube 视频、音频、Google 地图 - 通过“provider_name”进行经过身份验证的 (Contributor+) 存储跨站点脚本 (CVE-2024-11203)
CVE编号
CVE-2024-11203
利用情况
暂无
补丁情况
N/A
披露时间
2024-11-28
漏洞描述
EmbedPress插件（用于WordPress的Gutenberg Block和Elementor插件）存在存储型跨站脚本（Stored Cross-Site Scripting）漏洞。该漏洞存在于所有版本（截至并包括4.1.3版本）的‘provider_name参数中，原因是输入清理和输出转义不足。这使得拥有贡献者级别及以上访问权限的认证攻击者能够在页面中注入任意网页脚本。每当用户访问注入页面时，这些脚本就会执行。
解决建议
建议您更新当前系统或软件至最新版，完成漏洞的修复。
文章评论