Vulnerabilidad en el widget "Raw HTML" y los widgets "Custom HTML" en el parámetro "page_builder_data" en la acción AJAX "wppb_page_save" en el editor del plugin de WordPress WP Page Builder (CVE-2021-24208)

Gravedad CVSS v3.1:

MEDIA

Tipo:

CWE-79 Neutralización incorrecta de la entrada durante la generación de la página web (Cross-site Scripting)

Fecha de publicación:

05/04/2021

Última modificación:

12/04/2021

Descripción

El editor del plugin de WordPress WP Page Builder versiones anteriores a 1.2.4, permite a usuarios menos privilegiados insertar HTML sin filtrar, incluido JavaScript, en las páginas por medio del widget "Raw HTML" y los widgets "Custom HTML" (aunque el widget HTML personalizado requiere el envío una petición diseñada (parece que este widget utiliza alguna forma de comprobación del lado del cliente pero no del lado del servidor), todos los cuales son agregados por medio del parámetro "page_builder_data" al realizar la acción AJAX "wppb_page_save".&#xa0;También es posible insertar JavaScript malicioso por medio del parámetro "wppb_page_css" (esto puede ser realizado al cerrar la etiqueta de estilo y abriendo una etiqueta de script) cuando se lleva a cabo la acción AJAX "wppb_page_save"

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N CVSS v3.1 Severidad y Métricas:

Puntuación base: 5.40 MEDIA
Vector: CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Bajo
Interacción del usuario (UI): Obligatorio
Alcance (S): Modificado
Impacto a la confidencialidad (C): Bajo
Impacto a la integridad (I): Bajo
Impacto a la disponibilidad (A): Ninguno

Puntuación base 3.x

5.40

Gravedad 3.x

MEDIA

Vector 2.0

AV:N/AC:M/Au:S/C:N/I:P/A:N CVSS v2.0 Severidad y Métricas:

Puntuación base: 3.50 BAJA
Vector: AV:N/AC:M/Au:S/C:N/I:P/A:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Medio
Autenticación (Au): Simple
Impacto a la confidencialidad (C): Ninguno
Impacto a la integridad (I): Físico
Impacto a la disponibilidad (A): Ninguno