CVE-2024-6536
Zephyr Project Manager < 3.3.99 - Editor+ XSS
- Publicado
- 30 de jul. de 2024
- Atualizado
- 4 de nov. de 2024
- Atribuindo CNA
- WPScan
- Evidência observada
- 8 de ago. de 2026
CVSS primário
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:NBaixo · próximos 30 dias
- Percentil
- 54,8%
- Data do modelo
- 15 de out. de 2026
EPSS é uma estimativa estatística, não uma certeza ou uma medida de impacto. Combine-o com CVSS, status KEV, exposição e seu ambiente.
Resumo
O plugin Zephyr Project Manager para WordPress anterior à versão 3.3.99 não sanitiza e escapa algumas de suas configurações, o que poderia permitir que usuários com privilégios elevados, como editores e administradores, realizassem ataques de Cross-Site Scripting Armazenado mesmo quando a capacidade unfiltered_html não é permitida (por exemplo, em configuração multisite).
Fontes
Prova de conceito de exploit para CVE-2024-6536, um XSS armazenado autenticado no plugin Zephyr Project Manager para WordPress, que permite injeção de scripts em nível de administrador.
Uso responsável
Use informações de vulnerabilidade apenas em sistemas que você possui ou está autorizado a testar. O Kitploit vincula-se a metadados de pesquisa pública e não armazena código de exploração ou cargas maliciosas.