CVE-2024-13362

Freemius <= 2.10.1 - Reflected DOM-Based Cross-Site Scripting via url Parameter

CVSS 3.1Medium

6.1/ 10.0

Опубликовано

1 мая 2026 г.

Обновлено

1 мая 2026 г.

В атаках

Не зафиксировано

Публичный PoC

Отсутствует

Анализ подготовлен:CVE Futuretools Threat Intelligence

Верификация: MITRE CVE List · CISA KEV · NIST NVD

ОФИЦИАЛЬНЫЙ ПАТЧ НЕ ОПУБЛИКОВАН

Обновить библиотеку Freemius в используемых плагинах и темах WordPress до версии 2.10.2 или новее.

01 // ТЕХНИЧЕСКАЯ СУТЬ УЯЗВИМОСТИ

Отраженная DOM-based XSS-уязвимость в SDK Freemius для WordPress через параметр url. Позволяет выполнять произвольный JS-код в браузере жертвы при переходе по ссылке.

02 // АНАТОМИЯ АТАКИ И ДЕФЕКТ ЛОГИКИ

Недостаточная фильтрация входящих значений и отсутствие экранирования при выводе параметра url в клиентский DOM внутри библиотеки Freemius, интегрированной в темы и плагины WordPress.

03 // СИСТЕМНЫЕ ПОСЛЕДСТВИЯ

Выполнение вредоносного JavaScript-кода в контексте сессии администратора, кража сессионных cookie/токенов и захват контроля над сайтом.

04 // МАТРИЦА ЗАТРОНУТЫХ ПАКЕТОВ

sebetGo Fetch Jobs (for WP Job Manager)

>= 0➔Патч не выпущен

5starpluginsDynamic Copyright Year

>= 0➔Патч не выпущен

peterschulznlCode Manager

>= 0➔Патч не выпущен

bpluginsAdvanced Scrollbar – Custom Scrollbar Styling and Behavior

>= 0➔Патч не выпущен

yuvaloGoal Tracker – Custom Event Tracking for GA4

>= 0➔Патч не выпущен

essekiaTablesome Table – Contact Form DB – WPForms, CF7, Gravity, Forminator, Fluent

>= 0➔Патч не выпущен

josevegaWP Page Templates

>= 0➔Патч не выпущен

hkdigitalagencyPayment Gateway for ACBA BANK

>= 0➔Патч не выпущен

princeahmedDracula Dark Mode – Accessibility, Reading Mode & Dark Mode for WordPress

>= 0➔Патч не выпущен

spiderdevsForumax – AI Powered Advanced Community Forum Plugin

>= 0➔Патч не выпущен

seezeeFive-Star Ratings Shortcode

>= 0➔Патч не выпущен

oxilabProduct Layouts for WooCommerce

>= 0➔Патч не выпущен

mr2pMeta Field Block – Display custom fields in the Block Editor without coding

>= 0➔Патч не выпущен

themelocationCustom WooCommerce Checkout Fields Editor

>= 0➔Патч не выпущен

100pluginsOpen User Map

>= 0➔Патч не выпущен

wpdeverWP Notification Bell

>= 0➔Патч не выпущен

themelocationRemove Add to Cart WooCommerce

>= 0➔Патч не выпущен

princeahmedFile Manager for Google Drive – Integrate Google Drive

>= 0➔Патч не выпущен

5starpluginsMarijuana Age Verify

>= 0➔Патч не выпущен

infosatechRevivePress – Keep your Old Content Evergreen

>= 0➔Патч не выпущен

nicheaddonsRestaurant & Cafe Addon for Elementor

>= 0➔Патч не выпущен

paretodigitalSend Users Email – Email Subscribers, Email Marketing Newsletter

>= 0➔Патч не выпущен

unitecmsUnlimited Elements For Elementor

>= 0➔Патч не выпущен

meowcrewRole Based Pricing for Woo by Meow Crew

>= 0➔Патч не выпущен

nicheaddonsPrimary Addon for Elementor

>= 0➔Патч не выпущен

5starpluginsFeatured Images in RSS for Mailchimp & More

>= 0➔Патч не выпущен

wpsaadImage Alt Text Manager – Bulk & Dynamic Alt Tags For image SEO Optimization + AI

>= 0➔Патч не выпущен

kofimokomeMessage Filter for Contact Form 7

>= 0➔Патч не выпущен

paretodigitalEmbedder for Google Reviews

>= 0➔Патч не выпущен

interactivegeomapsMapGeo – Interactive Geo Maps

>= 0➔Патч не выпущен

wpbitsWPBITS Addons For Elementor Page Builder

>= 0➔Патч не выпущен

toddhalfpennyWidgets on Pages

>= 0➔Патч не выпущен

rebelcodeSpotlight Social Feeds – Block, Shortcode, and Widget

>= 0➔Патч не выпущен

tobias_conradWOW Styler for CF7 – Visual Styler for Contact Form 7 Forms

>= 0➔Патч не выпущен

webfactoryAI Bud – AI Content Generator, AI Chatbot, ChatGPT, Gemini, GPT-4o

>= 0➔Патч не выпущен

hasanazizulText To Speech TTS Accessibility

>= 0➔Патч не выпущен

5starpluginsEasy Age Verify

>= 0➔Патч не выпущен

senolsAI Puffer – Chat. Create. Automate. (formerly AI Power)

>= 0➔Патч не выпущен

damian-goraJustified Gallery

>= 0➔Патч не выпущен

mapsterMapster WP Maps

>= 0➔Патч не выпущен

streamweaselsStreamWeasels Twitch Integration

>= 0➔Патч не выпущен

xplodedthemesXT Variation Swatches for WooCommerce

>= 0➔Патч не выпущен

bpluginsbBlocks – Essential Gutenberg Blocks & Patterns Collection

>= 0➔Патч не выпущен

kaizencodersURL Shortify – Simple and Easy URL Shortener

>= 0➔Патч не выпущен

uriahs-victorKikote – Location Picker at Checkout & Google Address AutoFill Plugin for WooCommerce

>= 0➔Патч не выпущен

cyberhoboGeo Mashup

>= 0➔Патч не выпущен

josevegaDisable Payment Methods based on cart conditions for WooCommerce

>= 0➔Патч не выпущен

pagupAutomatic Internal Links for SEO by Pagup

>= 0➔Патч не выпущен

enwebyFull Screen Background

>= 0➔Патч не выпущен

litonice13Master Addons For Elementor – Widgets, Extensions, Theme Builder, Popup Builder & Template Kits

>= 0➔Патч не выпущен

princeahmedRadio Player – Live Shoutcast, Icecast and Any Audio Stream Player

>= 0➔Патч не выпущен

spicethemesCarousel, Recent Post Slider and Banner Slider

>= 0➔Патч не выпущен

pagupBulk Auto Image Alt Text (Alt tag, Alt attribute) optimizer (image SEO)

>= 0➔Патч не выпущен

xplodedthemesXT Quick View for WooCommerce

>= 0➔Патч не выпущен

pluginscafeSmart phone field for Gravity Forms

>= 0➔Патч не выпущен

foopluginsNotification Bar, Announcement and Cookie Notice WordPress Plugin – FooBar

>= 0➔Патч не выпущен

bpluginsPDF Poster – Display PDF Files with Custom Viewer

>= 0➔Патч не выпущен

nicheaddonsEvents Addon for Elementor

>= 0➔Патч не выпущен

bpluginsHTML5 Audio Player – The Ultimate No-Code Podcast, MP3 & Audio Player

>= 0➔Патч не выпущен

mte90Glossary

>= 0➔Патч не выпущен

tickeraRestrict – membership, site, content and user access restrictions for WordPress

>= 0➔Патч не выпущен

cyclonecodeCustom PHP Settings

>= 0➔Патч не выпущен

prasadkirpekarWP Meta and Date Remover

>= 0➔Патч не выпущен

fullworksAnti-Spam Protection – No API Key, GDPR Friendly

>= 0➔Патч не выпущен

premmercePremmerce Permalink Manager for WooCommerce

>= 0➔Патч не выпущен

smartwpressMusic Player for Elementor – Audio Player & Podcast Player

>= 0➔Патч не выпущен

mhmrajibTopNewsWp – Display Tikcer News, RSS Feed Widget and Many More

>= 0➔Патч не выпущен

oceanwpOcean Extra

>= 0➔Патч не выпущен

foopluginsGallery by FooGallery

>= 0➔Патч не выпущен

plugins360Automatic YouTube Gallery

>= 0➔Патч не выпущен

spiderdevsEazyDocs – AI Powered Knowledge Base, Wiki, Documentation & FAQ Builder

>= 0➔Патч не выпущен

samdaniTeam Members – A WordPress Team Plugin with Gallery, Grid, Carousel, Slider, Table, List, and More

>= 0➔Патч не выпущен

tonyzeoliRadio Station by netmix® – Manage and play your Show Schedule in WordPress!

>= 0➔Патч не выпущен

kairaStoreCustomizer – A plugin to Customize all WooCommerce Pages

>= 0➔Патч не выпущен

wpjoliJoli Table Of Contents

>= 0➔Патч не выпущен

passionatebrainsGA4WP – Analytics Dashboard for the Website

>= 0➔Патч не выпущен

nitin247Place Order Without Payment for WooCommerce

>= 0➔Патч не выпущен

wordplusBetter Messages – Live Chat, Chat Rooms, Real-Time Messaging & Private Messages

>= 0➔Патч не выпущен

mihail-barinovShare This Image

>= 0➔Патч не выпущен

inaviiInavii Social Feed

>= 0➔Патч не выпущен

foopluginsLightbox & Modal Popup WordPress Plugin – FooBox

>= 0➔Патч не выпущен

xplodedthemesXT Floating Cart for WooCommerce

>= 0➔Патч не выпущен

takanakuiWP Mobile Menu – The Mobile-Friendly Responsive Menu

>= 0➔Патч не выпущен

passionatebrainsAEH Speed Optimization: Browser Cache, Optimized Minify, Lazy Loading & Image Optimization

>= 0➔Патч не выпущен

bensibleyIndependent Analytics

>= 0➔Патч не выпущен

codesavoryKnowledge Base documentation & wiki plugin – BasePress Docs

>= 0➔Патч не выпущен

davidandersonInternal Link Juicer: SEO Auto Linker for WordPress

>= 0➔Патч не выпущен

josevegaBulk Edit Posts and Products in Spreadsheet

>= 0➔Патч не выпущен

saadiqbalPost SMTP – Complete Email Deliverability and SMTP Solution with Email Logs, Alerts, Backup SMTP & Mobile App

>= 0➔Патч не выпущен

tobiasbgTablePress – Tables in WordPress made easy

>= 0➔Патч не выпущен

bouncingsproutUltimeter

>= 0➔Патч не выпущен

blackandwhitedigitalTreePress – Easy Family Trees & Ancestor Profiles

>= 0➔Патч не выпущен

mattpramschuferPay For Post with WooCommerce

>= 0➔Патч не выпущен

koen12344Post to Google My Business (Google Business Profile)

>= 0➔Патч не выпущен

imtiazrayhanWP Coupons and Deals – Coupon Plugin For Affiliate Marketers

>= 0➔Патч не выпущен

pluginswareAdvanced Classifieds & Directory Pro

>= 0➔Патч не выпущен

gallerycreatorMixed Media Gallery Blocks

>= 0➔Патч не выпущен

blockspareBlockSpare — News, Magazine and Blog Addons for (Gutenberg) Block Editor

>= 0➔Патч не выпущен

mhmrajibAidWP – Donation & Payment Forms (Stripe Powered)

>= 0➔Патч не выпущен

infornwebLogo Showcase – Responsive Logo Carousel, Logo Slider & Logo Grid

>= 0➔Патч не выпущен

pluginandplayPost Slider and Post Carousel with Post Vertical Scrolling Widget – A Responsive Post Slider

>= 0➔Патч не выпущен

samdaniSolid Testimonials – Testimonial Slider, Video Testimonials & Customer Reviews

>= 0➔Патч не выпущен

wpspeedoTeam Members Showcase

>= 0➔Патч не выпущен

elespareEleSpare – News, Magazine and Blog Addons for Elementor

>= 0➔Патч не выпущен

infornwebPost List Designer – Category Post, Recent Post, Post List

>= 0➔Патч не выпущен

infornwebBlog Designer Pack – Blog, Post Grid, Post Slider, Post Carousel, Category Post, News

>= 0➔Патч не выпущен

dashlabsltdYASR – Yet Another Star Rating Plugin for WordPress

>= 0➔Патч не выпущен

xplodedthemesWPIDE – File Manager & Code Editor

>= 0➔Патч не выпущен

premmercePremmerce Product Filter for WooCommerce

>= 0➔Патч не выпущен

afthemesWP Post Author – Author Box, Multiple Authors, Guest Authors & Custom Avatars

>= 0➔Патч не выпущен

wpmagicsDelete Posts automatically

>= 0➔Патч не выпущен

takanakuiMenu Image, Icons made easy

>= 0➔Патч не выпущен

passionatebrainsAWCA – The Great Analytics Insights for Your eStore

>= 0➔Патч не выпущен

mikewire_rocksolidAnnouncement & Notification Banner – Bulletin

>= 0➔Патч не выпущен

nitin247Thank You Page for WooCommerce

>= 0➔Патч не выпущен

webheadllcContact Form 7 Multi-Step Forms

>= 0➔Патч не выпущен

speedifyAuto-Install Free SSL – Generate & Install Free SSL Certificates

>= 0➔Патч не выпущен

mhmrajibWP Books Gallery – Build Stunning Book Showcases & Libraries in Minutes

>= 0➔Патч не выпущен

webba-agencyEasy Appointment Booking & Scheduling System – Webba Booking Calendar

>= 0➔Патч не выпущен

invisnetWP fail2ban – Advanced Security

>= 0➔Патч не выпущен

vinod-dalviIvory Search – WordPress Search Plugin

>= 0➔Патч не выпущен

peterschulznlWP Data Access – App Builder for Tables, Forms, Charts, Maps & Dashboards

>= 0➔Патч не выпущен

elliotvsCoupon Affiliates – Affiliate Plugin for WooCommerce

>= 0➔Патч не выпущен

cleverpluginsSecurity Ninja – WordPress Security & Firewall

>= 0➔Патч не выпущен

theafricanbossCheckout with Cash App on WooCommerce

>= 0➔Патч не выпущен

fullworksDisplay Eventbrite Events

>= 0➔Патч не выпущен

mohsinofflineSecure Gateway for Authorize.net and WooCommerce by Pledged Plugins

>= 0➔Патч не выпущен

sjavedEasy Social Feed – Social Photos Gallery and Post Feed for WordPress

>= 0➔Патч не выпущен

gn_themesWP Shortcodes Plugin — Shortcodes Ultimate

>= 0➔Патч не выпущен

gowebsmartyWP Encryption – One Click Free SSL Certificate & SSL / HTTPS Redirect, Security & SSL Scan

>= 0➔Патч не выпущен

tripettoWordPress form builder plugin for contact forms, surveys and quizzes – Tripetto

>= 0➔Патч не выпущен

05 // ПЕРВОИСТОЧНИКИ И БЮЛЛЕТЕНИ (24)

www.wordfence.comhttps://www.wordfence.com/threat-intel/vulnerabilities/id/d694491c-c0f5-4418-805a-db792ea4f712?source=cve
plugins.trac.wordpress.orghttps://plugins.trac.wordpress.org/browser/tablepress/trunk/libraries/freemius/assets/js/pricing/freemius-pricing.js
plugins.trac.wordpress.orghttps://plugins.trac.wordpress.org/browser/widgets-on-pages/trunk/freemius/assets/js/pricing/freemius-pricing.js
plugins.trac.wordpress.orghttps://plugins.trac.wordpress.org/browser/menu-image/trunk/freemius/assets/js/pricing/freemius-pricing.js
plugins.trac.wordpress.orghttps://plugins.trac.wordpress.org/browser/simply-gallery-block/trunk/freemius/assets/js/pricing/freemius-pricing.js
plugins.trac.wordpress.orghttps://plugins.trac.wordpress.org/browser/foobox-image-lightbox/tags/2.7.33/freemius/assets/js/pricing/freemius-pricing.js
plugins.trac.wordpress.orghttps://plugins.trac.wordpress.org/browser/featured-images-for-rss-feeds/trunk/includes/freemius/assets/js/pricing/freemius-pricing.js
plugins.trac.wordpress.orghttps://plugins.trac.wordpress.org/browser/wpide/tags/3.5.0/dist/pricing/freemius-pricing.js
plugins.trac.wordpress.orghttps://plugins.trac.wordpress.org/browser/add-search-to-menu/trunk/includes/freemius/assets/js/pricing/freemius-pricing.js
plugins.trac.wordpress.orghttps://plugins.trac.wordpress.org/browser/master-addons/trunk/lib/freemius/assets/js/pricing/freemius-pricing.js
plugins.trac.wordpress.orghttps://plugins.trac.wordpress.org/browser/foogallery/tags/2.4.27/freemius/assets/js/pricing/freemius-pricing.js
plugins.trac.wordpress.orghttps://plugins.trac.wordpress.org/browser/ocean-extra/trunk/includes/freemius/assets/js/pricing/freemius-pricing.js
plugins.trac.wordpress.orghttps://plugins.trac.wordpress.org/browser/internal-links/trunk/vendor/freemius/wordpress-sdk/assets/js/pricing/freemius-pricing.js
plugins.trac.wordpress.orghttps://plugins.trac.wordpress.org/browser/interactive-geo-maps/tags/1.6.21/vendor/freemius/wordpress-sdk/assets/js/pricing/freemius-pricing.js
plugins.trac.wordpress.orghttps://plugins.trac.wordpress.org/browser/independent-analytics/trunk/freemius/assets/js/pricing/freemius-pricing.js
plugins.trac.wordpress.orghttps://plugins.trac.wordpress.org/browser/spotlight-social-photo-feeds/trunk/ui/freemius-pricing/freemius-pricing.js
plugins.trac.wordpress.orghttps://plugins.trac.wordpress.org/browser/woo-permalink-manager/tags/2.3.11/assets/admin/js/pricing-page/freemius-pricing.js
plugins.trac.wordpress.orghttps://plugins.trac.wordpress.org/browser/pdf-poster/trunk/freemius/assets/js/pricing/freemius-pricing.js
plugins.trac.wordpress.orghttps://plugins.trac.wordpress.org/browser/wp-meta-and-date-remover/tags/2.3.4/freemius/assets/js/pricing/freemius-pricing.js
plugins.trac.wordpress.orghttps://plugins.trac.wordpress.org/browser/unlimited-elements-for-elementor/trunk/provider/freemius/assets/js/pricing/freemius-pricing.js
plugins.trac.wordpress.orghttps://plugins.trac.wordpress.org/browser/shortcodes-ultimate/trunk/freemius/assets/js/pricing/freemius-pricing.js
plugins.trac.wordpress.orghttps://plugins.trac.wordpress.org/changeset/3235286/
plugins.trac.wordpress.orghttps://plugins.trac.wordpress.org/changeset/3249130/
plugins.trac.wordpress.orghttps://plugins.trac.wordpress.org/changeset/3229060/

06 // ЦИТИРОВАНИЕ ДАННЫХ И ИСТОЧНИК

Для включения аналитической карточки в отчёты по безопасности, матрицы рисков или исследовательские публикации используйте стандартизированный формат цитирования:

Библиографическая ссылка (Plain text)

CVE Futuretools (2026). Анализ уязвимости CVE-2024-13362: Freemius <= 2.10.1 - Reflected DOM-Based Cross-Site Scripting via url Parameter. URL: https://cve.futuretools.ru/cve/CVE-2024-13362

BibTeX формат (LaTeX)

@misc{cve_futuretools_cve_2024_13362,
  title = {{CVE-2024-13362: Freemius <= 2.10.1 - Reflected DOM-Based Cross-Site Scripting via url Parameter}},
  author = {{CVE Futuretools}},
  year = {2026},
  howpublished = {\url{https://cve.futuretools.ru/cve/CVE-2024-13362}},
  note = {Оперативный инженерный анализ киберугроз}
}