WordPress 6.0.3 Beveiligingsupdate: 16 kwetsbaarheden

De WordPress 6.0.3 Security Update bevat patches voor veel kwetsbaarheden, waarvan de meeste laag van ernst zijn of een zeer geprivilegieerd gebruikersaccount of extra kwetsbare code vereisen om te misbruiken.

We willen deze kwetsbaarheden delen, zodat je ze kent en actie onderneemt om een mogelijk gehackte site te voorkomen.

1. Geauthenticeerde (Contributor+) opgeslagen cross-site scripting via RSS Widget/Block
Versies waarop dit invloed heeft: WordPress Core < 6.0.3 en Gutenberg < 14.3.1
Onderzoeker: N.V.T
CVE-ID: Aanhangig
CVSS-score: 6.4 (gemiddeld)
CVSS-vector: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:L/I:L/A:N
Volledig gepatchte versie:  6.0.3
Wijzigingenset:  https://core.trac.wordpress.org/changeset/54543

Een aanvaller op bijdragersniveau kan een pagina maken op een site die hij beheerde en die een foutcode en een kwaadaardig script retourneerde in de Inhoud-Type Kop van reacties.

2. Geauthenticeerde opgeslagen cross-site scripting via zoekblok
Versies waarop dit invloed heeft: WordPress Core < 6.0.3 en Gutenberg < 14.3.1
Onderzoeker: Alex Concha
CVE-ID: Aanhangig
CVSS-score: 6.4 (gemiddeld)
CVSS-vector: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:L/I:L/A:N
Volledig gepatchte versie:  6.0.3
Wijzigingenset:  https://core.trac.wordpress.org/changeset/54543

Het is mogelijk voor gebruikers die berichten kunnen bewerken om kwaadaardig JavaScript te injecteren via de kenmerken tekstkleur en achtergrondkleur van het zoekblok.

Beschrijving: Geverifieerde opgeslagen cross-site scripting via Featured Image Block
Versies waarop dit invloed heeft: WordPress Core < 6.0.3 en Gutenberg < 14.3.1
Onderzoeker: N.V.T
CVE-ID: Aanhangig
CVSS-score: 6.4 (gemiddeld)
CVSS-vector: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:L/I:L/A:N
Volledig gepatchte versie:  6.0.3
Wijzigingenset: https://core.trac.wordpress.org/changeset/54543