Das WordPress 6.0.3-Sicherheitsupdate enthält Patches für zahlreiche Sicherheitslücken, von denen die meisten nur einen geringen Schweregrad aufweisen oder ein hoch privilegiertes Benutzerkonto oder zusätzlichen anfälligen Code erfordern, um sie auszunutzen.
Wir möchten Sie über diese Schwachstellen informieren, damit Sie sie kennen und Maßnahmen ergreifen können, um eine potenziell gehackte Website zu vermeiden.
1. Authenticated (Contributor+) Stored Cross-Site Scripting via RSS Widget/Block
Affected Versions: WordPress Core < 6.0.3 & Gutenberg < 14.3.1
Researcher: N/A
CVE ID: Pending
CVSS Score: 6.4(Medium)
CVSS Vector: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:L/I:L/A:N
Fully Patched Version: 6.0.3
Changeset: https://core.trac.wordpress.org/changeset/54543
Ein Angreifer auf Mitwirkerebene könnte eine Seite auf einer von ihm kontrollierten Website erstellen, die einen Fehlercode und ein bösartiges Skript in der Content-Type Antwort-Header.
2. Authenticated Stored Cross-Site Scripting via Search Block
Affected Versions: WordPress Core < 6.0.3 & Gutenberg < 14.3.1
Researcher: Alex Concha
CVE ID: Pending
CVSS Score: 6.4(Medium)
CVSS Vector: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:L/I:L/A:N
Fully Patched Version: 6.0.3
Changeset: https://core.trac.wordpress.org/changeset/54543
Es ist möglich, dass Benutzer, die Beiträge bearbeiten können, bösartiges JavaScript über die Attribute Textfarbe und Hintergrundfarbe des Suchblocks einfügen.
Description: Authenticated Stored Cross-Site Scripting via Featured Image Block
Affected Versions: WordPress Core < 6.0.3 & Gutenberg < 14.3.1
Researcher: N/A
CVE ID: Pending
CVSS Score: 6.4(Medium)
CVSS Vector: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:L/I:L/A:N
Fully Patched Version: 6.0.3
Changeset: https://core.trac.wordpress.org/changeset/54543
