Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidad en Counter Box: Add Engaging Countdowns, Timers & Counters to Your WordPress Site para WordPress (CVE-2024-13901)

Gravedad CVSS v3.1:
MEDIA
Tipo:
CWE-79 Neutralización incorrecta de la entrada durante la generación de la página web (Cross-site Scripting)
Fecha de publicación:
01/03/2025
Última modificación:
26/05/2025

Descripción

El complemento Counter Box: Add Engaging Countdowns, Timers & Counters to Your WordPress Site para WordPress es vulnerable a DOM-Based Stored Cross-Site Scripting a través del parámetro 'content' en todas las versiones hasta la 2.0.6 incluida, debido a una depuración de entrada insuficiente y al escape de salida. Esto hace posible que atacantes autenticados, con acceso de nivel de administrador, inyecten secuencias de comandos web arbitrarias en páginas que se ejecutarán cada vez que un usuario acceda a una página inyectada. Esto solo afecta a instalaciones multisitio e instalaciones donde se ha deshabilitado unfiltered_html.

Productos y versiones vulnerables

CPE Desde Hasta
cpe:2.3:a:wow-company:counter_box:*:*:*:*:*:wordpress:*:* 2.0.7 (excluyendo)