CVE-2024-4439
WordPress Core è vulnerabile a Cross-Site Scripting persistente (Stored XSS) tramite i nomi visualizzati degli utenti nel blocco Avatar in diverse versioni...
- Pubblicato
- 3 mag 2024
- Aggiornato
- 1 ago 2024
- Assegnazione CNA
- Wordfence
- Evidenza osservata
- 8 ago 2026
CVSS primario
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:L/I:L/A:NAlto · prossimi 30 giorni
- Percentile
- 99,4%
- Data del modello
- 17 ott 2026
L'EPSS è una stima statistica, non una certezza o una misura di impatto. Combinalo con CVSS, stato KEV, esposizione e ambiente.
Riepilogo
WordPress Core è vulnerabile a Cross-Site Scripting persistente (Stored XSS) tramite i nomi visualizzati degli utenti nel blocco Avatar in diverse versioni fino alla 6.5.2, a causa di un insufficiente escaping dell'output sul nome visualizzato. Ciò consente ad attaccanti autenticati, con accesso di livello collaboratore o superiore, di iniettare script web arbitrari nelle pagine che verranno eseguiti ogni volta che un utente accede a una pagina iniettata. Inoltre, consente anche ad attaccanti non autenticati di iniettare script web arbitrari nelle pagine che contengono il blocco commenti e visualizzano l'avatar dell'autore del commento.
Fonti
http/cves/2024/CVE-2024-4439.yaml
Nuclei TemplatesCondizioni dichiarate
- network: http($.protocol_keys)
- verification: status,word($.matchers[*].type)
- CVE-2024-4439Exploit
Codice exploit per CVE-2024-4439, una vulnerabilità XSS persistente non autenticata nel WordPress Core fino alla 6.5.1, che consente l'esecuzione arbitraria di comandi PHP tramite payload Avatar block appositamente modificati.
Utilizzo responsabile
Utilizza le informazioni sulla vulnerabilità solo sui sistemi che possiedi o che sei autorizzato a testare. Kitploit si collega ai metadati della ricerca pubblica e non memorizza codici exploit o payload dannosi.