CVE-2022-2941
WP-UserOnline <= 2.88.0 - Autenticato (Admin+) Cross-Site Scripting Memorizzato
- Pubblicato
- 6 set 2022
- Aggiornato
- 8 apr 2026
- Assegnazione CNA
- Wordfence
- Evidenza osservata
- 23 set 2022
CVSS primario
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:L/I:L/A:NBasso · prossimi 30 giorni
- Percentile
- 94,1%
- Data del modello
- 21 set 2026
L'EPSS è una stima statistica, non una certezza o una misura di impatto. Combinalo con CVSS, stato KEV, esposizione e ambiente.
Riepilogo
Il plugin WP-UserOnline per WordPress presenta molteplici vulnerabilità di Cross-Site Scripting persistente nelle versioni fino alla 2.88.0 inclusa. Ciò è dovuto al fatto che tutti i campi della sezione "Convenzioni di denominazione" non sanificano correttamente l'input dell'utente, né lo sottopongono a escape in output. Questo consente ad attaccanti autenticati, con privilegi amministrativi, di iniettare codice JavaScript nell'impostazione, che verrà eseguito ogni volta che un utente accede alla pagina iniettata. Ciò riguarda solo le installazioni multi-sito e le installazioni in cui unfiltered_html è stato disabilitato.
Fonti
1UnD3sc0n0c1d0 · php · 23 set 2022
Utilizzo responsabile
Utilizza le informazioni sulla vulnerabilità solo sui sistemi che possiedi o che sei autorizzato a testare. Kitploit si collega ai metadati della ricerca pubblica e non memorizza codici exploit o payload dannosi.