Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidad en el archivo ~/app/sites/ajax/actions/keyword_save.php en la función doAjax() en el plugin uContext for Clickbank para WordPress (CVE-2022-2542)

Gravedad CVSS v3.1:
ALTA
Tipo:
CWE-352 Falsificación de petición en sitios cruzados (Cross-Site Request Forgery)
Fecha de publicación:
06/09/2022
Última modificación:
05/05/2025

Descripción

El plugin uContext for Clickbank para WordPress es vulnerable a un ataque de tipo Cross-Site Request Forgery a Cross-Site Scripting en versiones hasta 3.9.1 incluyéndola. Esto es debido a una falta de comprobación de nonce en el archivo ~/app/sites/ajax/actions/keyword_save.php que es llamado por medio de la función doAjax(). Esto hace posible a atacantes no autenticados modificar la configuración del plugin e inyecten scripts web maliciosos por medio de una petición falsificada que puede engañar al administrador del sitio para que lleve a cabo una acción como hacer clic en un enlace.<br />

Productos y versiones vulnerables

CPE Desde Hasta
cpe:2.3:a:summitmediaconcepts:ucontext_for_clickbank:*:*:*:*:*:wordpress:*:* 3.9.1 (incluyendo)