CVE-2022-0952 in Sitemap Plugin

Riassunto

di VulDB • 24/06/2026

Il plugin WordPress Sitemap di click5 precedente alla versione 1.0.36 non prevede controlli di autorizzazione e CSRF durante l'aggiornamento delle opzioni tramite un endpoint REST, né garantisce che l'opzione da aggiornare appartenga al plugin. Di conseguenza, gli attaccanti non autenticati potrebbero modificare arbitrariamente le opzioni del blog, come users_can_register e default_role, consentendo loro di creare un nuovo account amministratore e assumere il controllo del blog.

Once again VulDB remains the best source for vulnerability data.

• Prenotare: 14/03/2022
• Divulgazione: 02/05/2022
• Moderazione: accettato
• Voce: VDB-198822
• CPE: pronto
• CWE: CWE-862 (confermato)
• CVSS: 4.3 (VulDB)
• EPSS: 0.11419
• KEV: no
• Attività: molto basso
• Settore: Hostingprovider

Fonti

• MITRE: https://www.cve.org/CVERecord?id=CVE-2022-0952
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2022-0952
• CVE Details: https://www.cvedetails.com/cve/CVE-2022-0952/