Vulnerabilidad en wp-includesjsplupload en WordPress (CVE-2012-2401)
Gravedad CVSS v2.0:
MEDIA
Tipo:
CWE-264
Permisos, privilegios y/o control de acceso
Fecha de publicación:
21/04/2012
Última modificación:
11/04/2025
Descripción
Plupload antes de v1.5.4, tal y como se utiliza en wp-includes/js/plupload/ en WordPress antes de v3.3.2 y otros productos, permite ejecutar secuencias de comandos, independientemente del dominio desde el que se cargó el contenido SWF, lo que permite a atacantes remotos evitar la política de mismo origen a través de contenido malicioso.
Impacto
Puntuación base 2.0
5.00
Gravedad 2.0
MEDIA
Productos y versiones vulnerables
| CPE | Desde | Hasta |
|---|---|---|
| cpe:2.3:a:moxiecode:plupload:*:*:*:*:*:*:*:* | 1.5.3 (incluyendo) | |
| cpe:2.3:a:moxiecode:plupload:1.4.0:*:*:*:*:*:*:* | ||
| cpe:2.3:a:moxiecode:plupload:1.4.1:*:*:*:*:*:*:* | ||
| cpe:2.3:a:moxiecode:plupload:1.4.2:*:*:*:*:*:*:* | ||
| cpe:2.3:a:moxiecode:plupload:1.4.3:*:*:*:*:*:*:* | ||
| cpe:2.3:a:moxiecode:plupload:1.5.0:*:*:*:*:*:*:* | ||
| cpe:2.3:a:moxiecode:plupload:1.5.0:beta:*:*:*:*:*:* | ||
| cpe:2.3:a:moxiecode:plupload:1.5.1:*:*:*:*:*:*:* | ||
| cpe:2.3:a:moxiecode:plupload:1.5.2:*:*:*:*:*:*:* | ||
| cpe:2.3:a:wordpress:wordpress:*:*:*:*:*:*:*:* | 3.3.1 (incluyendo) | |
| cpe:2.3:a:wordpress:wordpress:0.71:*:*:*:*:*:*:* | ||
| cpe:2.3:a:wordpress:wordpress:1.0:*:*:*:*:*:*:* | ||
| cpe:2.3:a:wordpress:wordpress:1.0.1:*:*:*:*:*:*:* | ||
| cpe:2.3:a:wordpress:wordpress:1.0.2:*:*:*:*:*:*:* | ||
| cpe:2.3:a:wordpress:wordpress:1.1.1:*:*:*:*:*:*:* |
Para consultar la lista completa de nombres de CPE con productos y versiones, ver esta página
Referencias a soluciones, herramientas e información
- http://core.trac.wordpress.org/browser/branches/3.3/wp-includes/js/plupload/changelog.txt?rev=20487
- http://core.trac.wordpress.org/browser/branches/3.3/wp-includes/js/plupload?rev=20487
- http://osvdb.org/81461
- http://secunia.com/advisories/49138
- http://wordpress.org/news/2012/04/wordpress-3-3-2/
- http://www.debian.org/security/2012/dsa-2470
- http://www.plupload.com/punbb/viewtopic.php?id=1685
- http://www.securityfocus.com/bid/53192
- https://exchange.xforce.ibmcloud.com/vulnerabilities/75208
- https://nealpoole.com/blog/2012/05/xss-and-csrf-via-swf-applets-swfupload-plupload/
- http://core.trac.wordpress.org/browser/branches/3.3/wp-includes/js/plupload/changelog.txt?rev=20487
- http://core.trac.wordpress.org/browser/branches/3.3/wp-includes/js/plupload?rev=20487
- http://osvdb.org/81461
- http://secunia.com/advisories/49138
- http://wordpress.org/news/2012/04/wordpress-3-3-2/
- http://www.debian.org/security/2012/dsa-2470
- http://www.plupload.com/punbb/viewtopic.php?id=1685
- http://www.securityfocus.com/bid/53192
- https://exchange.xforce.ibmcloud.com/vulnerabilities/75208
- https://nealpoole.com/blog/2012/05/xss-and-csrf-via-swf-applets-swfupload-plupload/