CVE-2021-24581CWE-352CWE-79

CVE-2021-24581: falha em Blue Admin

Blue Admin <= 21.06.01 - CSRF to Stored Cross-Site Scripting (XSS)

Publicada em · Atualizada em

Seguir esta CVE+ Monitorar Blue Admin

Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.

23Vexday Risk Score

Sem sinal de exploração. Ela tem prova de conceito pública.

ssvc Attendepss 4.1%
da publicação à arma254 dias
Publicada no NVD30 de ago.
1ª PoC+254d
Em resumo

O plugin Blue Admin do WordPress permite que atacantes injetem código malicioso através da configuração 'Logo Title' sem proteção adequada. Um atacante pode enganar um administrador do site para salvar código prejudicial que será executado nos navegadores de todos os visitantes.

Detalhe técnico

O plugin não implementa proteção CSRF (CWE-352) no endpoint de salvamento de configurações e não sanitiza o parâmetro 'Logo Title' antes de exibir na página (CWE-79). Um atacante não autenticado pode criar uma página maliciosa que, quando visitada por um admin autenticado, submete uma requisição forjada para injetar e armazenar JavaScript executado nos navegadores dos visitantes.

Resumo gerado e traduzido por IA a partir da descrição oficial.
The Blue Admin WordPress plugin through 21.06.01 does not sanitise or escape its "Logo Title" setting before outputting in a page, leading to a Stored Cross-Site Scripting issue. Furthermore, the plugin does not have CSRF check in place when saving its settings, allowing the issue to be exploited via a CSRF attack.
Produtos afetados
Unknown · Blue Admin
⚠ Recursos públicos, para você avaliar a exposição de sistemas que controla ou está autorizado a testar. Teste apenas com autorização.