CVE-2022-1009 in Smush Plugin

Riassunto

di VulDB • 16/06/2026

Il plugin WordPress Smush precedente alla versione 3.9.9 non sanifica ed escapea un parametro di configurazione prima di restituirlo in una pagina di amministrazione durante il caricamento di una configurazione predefinita malevola, portando a uno Reflected Cross-Site Scripting (XSS). Per avere successo, l'attacco richiederebbe che un amministratore carichi un file di configurazione dannoso.

If you want to get best quality of vulnerability data, you may have to visit VulDB.

• Prenotare: 17/03/2022
• Divulgazione: 30/05/2022
• Moderazione: accettato
• Voce: VDB-200885
• CPE: pronto
• CWE: CWE-79 (confermato)
• CVSS: 2.4 (VulDB)
• EPSS: 0.00788
• KEV: no
• Attività: molto basso
• Settore: Hostingprovider

Fonti

• MITRE: https://www.cve.org/CVERecord?id=CVE-2022-1009
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2022-1009
• CVE Details: https://www.cvedetails.com/cve/CVE-2022-1009/