WordPress bis 4.5.2 Cross Site Scripting [CVE-2016-5834]

Eine problematische Schwachstelle wurde in WordPress bis 4.5.2 ausgemacht. Davon betroffen ist eine unbekannte Funktion. Dank Manipulation mit einer unbekannten Eingabe kann eine Cross Site Scripting-Schwachstelle ausgenutzt werden. Mit Auswirkungen muss man rechnen für die Integrität.

Die Schwachstelle wurde am 18.06.2016 als WordPress 4.5.3 Maintenance and Security Release in Form eines bestätigten Newss (Website) veröffentlicht. Auf statt. Die Ausnutzbarkeit gilt als leicht. Der Angriff kann über das Netzwerk passieren. Es sind weder technische Details noch ein Exploit zur Schwachstelle bekannt. Das Advisory weist darauf hin:

WordPress versions 4.5.2 and earlier are affected by several security issues (...)

Ein Upgrade auf die Version 4.5.3 vermag dieses Problem zu beheben. Eine neue Version kann von ) dokumentiert. Schwachstellen ähnlicher Art sind dokumentiert unter , .

CVSSv3

Base Score: 3.5
Vector: CVSS:3.0/AV:N/AC:L/PR:L/UI:R/S:U/C:N/I:L/A:N/E:X/RL:O/RC:C)
Temp Score: 3.5 (CVSS2#E:ND/RL:OF/RC:C)

Exploiting

Klasse: Cross Site Scripting
Lokal: Nein
Remote: Ja

Verfügbarkeit: Nein

Aktuelle Preisschätzung: $5k-$10k (0-day) / $1k-$2k (Heute)

Gegenmassnahmen

Empfehlung: Upgrade
Status: Offizieller Fix
Reaction Time: 0 Tage seit gemeldet
0-Day Time: 0 Tage seit gefunden
Exposure Time: 0 Tage seit bekannt

Upgrade:
18.06.2016
24.06.2016

Quellen

Advisory:

SecurityTracker: , , ,

Eintrag

Erstellt: 24.06.2016
Eintrag: 77.3% komplett