CVE-2024-34568

शोषण शीर्षक: LetterPress <= 1.2.1 - कुकी चोरी भेद्यता

शोषण लेखक: SANU P.L

CVE: CVE-2024-34568

CVSS: CVSS:3.1/AV:N/AC:L/PR:H/UI:R/S:C/C:L/I:L/A:L

संदर्भ:

https://nvd.nist.gov/vuln/detail/CVE-2024-34568 https://patchstack.com/database/wordpress/plugin/letterpress/vulnerability/wordpress-letterpress-newsletter-plugin-1-2-1-cross-site-scripting-xss-vulnerability

विवरण:

LetterPress प्लगइन <= 1.2.1 में कुकी चोरी भेद्यता मौजूद है। एक हमलावर जावास्क्रिप्ट कोड इंजेक्ट करके कुकीज़ चुरा सकता है।

शोषण:

1. LetterPress प्लगइन में Add Campaign पर जाएं और HTML Campaign Message इनपुट फ़ील्ड में कोड "" डालें और Save Campaign पर क्लिक करें।
2. अभियान देखें और तीसरे पक्ष की साइट (जैसे: burpcollaborator) पर अनुरोध और प्रतिक्रियाओं की निगरानी करें।
3. कुकी मान तीसरे पक्ष की साइट के GET पैरामीटर में पास हो जाते हैं।