CVE-2024-4041

Yoast SEO <= 22.5 - Cross-Site Scripting المنعكس

الوصف

إضافة Yoast SEO لووردبريس معرضة لـ Cross-Site Scripting المنعكس عبر عناوين URL في جميع الإصدارات حتى 22.5 بسبب عدم كفاية تعقيم المدخلات وهروب المخرجات. وهذا يجعل من الممكن للمهاجمين غير المصادق عليهم حقن نصوص برمجية ويب عشوائية في الصفحات التي يتم تنفيذها إذا نجحوا في خداع المستخدم للقيام بإجراء مثل النقر على رابط.

التفاصيل

• النوع: إضافة
• المعرف: wordpress-seo
• الإصدار المتأثر: <= 22.5
• الإصدار المصحح: 22.6
• درجة CVSS: 6.1
• تصنيف CVSS: متوسط
• متجه CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N
• CVE: CVE-2024-4041
• الحالة: نشط

إثبات المفهوم

1. قم بتسجيل الدخول إلى ووردبريس كمسؤول.
2. قم بزيارة عنوان URL معدّل:
   • https://<target>/?page=%22%20onmouseover%3D%22alert(document.domain)%22%20x%3D%22
3. في شريط الإدارة، افتح قائمة Yoast وقم بالتمرير/النقر على احصل على Yoast SEO Premium.
4. يتم تنفيذ JavaScript من معالج الأحداث المحقون (onmouseover)، مما يؤكد وجود XSS منعكس.