CVE-2024-4439
WordPress Core es vulnerable a Cross-Site Scripting Almacenado a través de nombres para mostrar de usuario en el bloque Avatar en varias versiones hasta...
- Publicado
- 3 may 2024
- Actualizado
- 1 ago 2024
- Asignación de CNA
- Wordfence
- Evidencia observada
- 8 ago 2026
CVSS primario
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:L/I:L/A:NAlto · próximos 30 días
- Percentil
- 99,4 %
- Fecha del modelo
- 19 oct 2026
EPSS es una estimación estadística, no una certeza o una medida de impacto. Combínelo con CVSS, estado KEV, exposición y su entorno.
Resumen
WordPress Core es vulnerable a Cross-Site Scripting Almacenado a través de nombres para mostrar de usuario en el bloque Avatar en varias versiones hasta 6.5.2 debido a una salida insuficiente que se escapa en el nombre para mostrar. Esto hace posible que atacantes autenticados, con acceso de nivel de colaborador y superior, inyecten scripts web arbitrarios en páginas que se ejecutarán cada vez que un usuario acceda a una página inyectada. Además, también hace posible que atacantes no autenticados inyecten scripts web arbitrarios en páginas que tienen el bloque de comentarios presente y muestran el avatar del autor del comentario.
Fuentes
http/cves/2024/CVE-2024-4439.yaml
Nuclei TemplatesCondiciones declaradas
- network: http($.protocol_keys)
- verification: status,word($.matchers[*].type)
- CVE-2024-4439Exploit
Código de explotación para CVE-2024-4439, una vulnerabilidad XSS almacenado sin autenticación en WordPress Core hasta 6.5.1, que permite la ejecución arbitraria de comandos PHP mediante payloads de bloque Avatar manipulados.
Uso responsable
Utilice información sobre vulnerabilidades solo en sistemas de su propiedad o que esté autorizado a probar. Kitploit enlaza con metadatos de investigación pública y no almacena código de explotación ni cargas útiles maliciosas.