CVE-2019-9978mediumbajo ataqueCWE-79

CVE-2019-9978

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear Social Warfare Plugin

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

100Vexday Risk Score

Corrige ahora. Ella está bajo explotación confirmada por CISA y tiene exploit funcional público.

ssvc Actcvss 6.1epss 73%
de la publicación al arma1 día
Publicada en NVD24 mar
1ª PoC+1d
CISA KEV+955d
Acción exigida por CISAplazo federal: 2022-05-03

Apply updates per vendor instructions.

En resumen

Un plugin de WordPress llamado Social Warfare tiene una falla que permite a atacantes almacenar código malicioso en un parámetro específico, que luego se ejecuta cuando los administradores visitan ciertas páginas. Esto permite que los atacantes roben credenciales de administrador o tomen control del sitio web.

Detalle técnico

Vulnerabilidad de XSS almacenado en el plugin Social Warfare versiones anteriores a 3.5.3, explotable a través del parámetro swp_url en wp-admin/admin-post.php?swp_debug=load_options. El ataque requiere acceso al endpoint vulnerable; el payload malicioso persiste en almacenamiento y se ejecuta en navegadores de administradores, pudiendo resultar en secuestro de sesión o acciones administrativas no autorizadas.

Resumen generado y traducido por IA a partir de la descripción oficial.

El análisis completo de esta CVE está disponible en portugués →

The social-warfare plugin before 3.5.3 for WordPress has stored XSS via the wp-admin/admin-post.php?swp_debug=load_options swp_url parameter, as exploited in the wild in March 2019. This affects Social Warfare and Social Warfare Pro.
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N
Productos afectados
n/a · n/a
PoCs públicas encontradas — 33
exploitdbwww.exploit-db.com/exploits/52346no verificadoexploitdbwww.exploit-db.com/exploits/46794no verificadogithubgithub.com/hash3liZer/CVE-2019-9978★ 22githubgithub.com/mpgn/CVE-2019-9978★ 8githubgithub.com/KTN1990/CVE-2019-9978★ 6githubgithub.com/grimlockx/CVE-2019-9978★ 4githubgithub.com/yup-Ivan/CVE-2019-9978★ 4githubgithub.com/TokyoHunter/CVE-2019-9978-Social-Warfare-WordPress-RCE★ 3githubgithub.com/d3fudd/CVE-2019-9978_Exploit★ 3githubgithub.com/echoosso/CVE-2019-9978★ 1githubgithub.com/0xMoonrise/cve-2019-9978★ 0githubgithub.com/B4ntGrim/Vuln_Exploitation_MegaQuagga_Pentest★ 0githubgithub.com/Vaidehim55/CVE-2019-9978-RCE-PoC★ 0githubgithub.com/h8handles/CVE-2019-9978-Python3★ 0githubgithub.com/Housma/CVE-2019-9978-Social-Warfare-WordPress-Plugin-RCE★ 0githubgithub.com/cved-sources/cve-2019-9978★ 0githubgithub.com/MAHajian/CVE-2019-9978★ 0githubgithub.com/B4ntGrim/Vuln_Remediation_MegaQuagga★ 0githubgithub.com/aktia1/MegaQuagga_Pentesting_Report★ 0vulncheckvulncheck.com/xdb/86c5d721b741no verificadocve_referencepacketstormsecurity.com/files/163680/WordPress-Social-Warfare-3.5.2-Remote-Code-Execution.htmlno verificadovulncheckvulncheck.com/xdb/797f3f17dcb3no verificadovulncheckvulncheck.com/xdb/7621c2e4cc97no verificadovulncheckvulncheck.com/xdb/4c5c4c61dda3no verificadovulncheckvulncheck.com/xdb/89a9def6ffedno verificadovulncheckvulncheck.com/xdb/b1aa6ec20c75no verificadovulncheckvulncheck.com/xdb/4f8c76c78bceno verificadovulncheckvulncheck.com/xdb/e62bb9f01805no verificadovulncheckvulncheck.com/xdb/5b8f3f707d29no verificadovulncheckvulncheck.com/xdb/5fa69ee6d630no verificadocve_referencewww.exploit-db.com/exploits/46794/no verificadovulncheckvulncheck.com/xdb/0a0645e7d05bno verificadocve_referencepacketstormsecurity.com/files/152722/Wordpress-Social-Warfare-Remote-Code-Execution.htmlno verificado
⚠ Recursos públicos, para evaluar la exposición de sistemas que controlas o estás autorizado a probar. Prueba solo con autorización.