flat_preloader_project flat_preloader 跨站请求伪造（csrf）

CVE编号

CVE-2021-24685

利用情况

暂无

补丁情况

N/A

披露时间

2021-11-01

漏洞描述

The Flat Preloader WordPress plugin before 1.5.4 does not enforce nonce checks when saving its settings, as well as does not sanitise and escape them, which could allow attackers to a make logged in admin change them with a Cross-Site Scripting payload (triggered either in the frontend or backend depending on the payload)

解决建议

建议您更新当前系统或软件至最新版，完成漏洞的修复。

参考链接
https://wpscan.com/vulnerability/972ecde8-3d44-4dd9-81e3-643d8737434f

受影响软件情况

#	类型	厂商	产品	版本	影响面
1
	运行在以下环境
	应用	flat_preloader_project	flat_preloader	*		Up to (excluding) 1.5.4

CVSS3评分 5.4

• 攻击路径 网络
• 攻击复杂度 低
• 权限要求 无
• 影响范围 未更改
• 用户交互 需要
• 可用性 无
• 保密性 低
• 完整性 低

CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:N CWE-ID 漏洞类型 CWE-352 跨站请求伪造（CSRF）