CVE-2024-4439

WordPress Core is vulnerable to Stored Cross-Site Scripting via user display names in the Avatar block in various versions up to 6.5.2 due t

CVSS 3.1High

7.2/ 10.0

Опубликовано

3 мая 2024 г.

Обновлено

1 августа 2024 г.

В атаках

Не зафиксировано

Публичный PoC

Отсутствует

Анализ подготовлен:CVE Futuretools Threat Intelligence

Верификация: MITRE CVE List · CISA KEV · NIST NVD

ОФИЦИАЛЬНЫЙ ПАТЧ НЕ ОПУБЛИКОВАН

Обновить ядро WordPress до версии 6.5.3 или применить актуальные патчи безопасности для используемой ветки.

01 // ТЕХНИЧЕСКАЯ СУТЬ УЯЗВИМОСТИ

Хранимая межсайтовая ратификация сценариев (Stored XSS) в блоке Avatar ядра WordPress через имя профиля пользователя.

02 // АНАТОМИЯ АТАКИ И ДЕФЕКТ ЛОГИКИ

Отсутствует экранирование отображаемого имени пользователя (display name) в блоке Avatar, в том числе при рендеринге комментариев.

03 // СИСТЕМНЫЕ ПОСЛЕДСТВИЯ

Выполнение произвольного JavaScript-кода в браузере посетителей и администраторов с возможностью захвата сессий.

04 // МАТРИЦА ЗАТРОНУТЫХ ПАКЕТОВ

WordPress FoundationWordPress

>= 6.0➔Патч не выпущен

WordPress FoundationWordPress

>= 6.1➔Патч не выпущен

WordPress FoundationWordPress

>= 6.2➔Патч не выпущен

WordPress FoundationWordPress

>= 6.3➔Патч не выпущен

WordPress FoundationWordPress

>= 6.4➔Патч не выпущен

WordPress FoundationWordPress

>= 6.5➔Патч не выпущен

05 // ПЕРВОИСТОЧНИКИ И БЮЛЛЕТЕНИ (5)

www.wordfence.comhttps://www.wordfence.com/threat-intel/vulnerabilities/id/e363c09a-4381-4b3a-951c-9a0ff5669016?source=cve
wordpress.orghttps://wordpress.org/news/2024/04/wordpress-6-5-2-maintenance-and-security-release/
core.trac.wordpress.orghttps://core.trac.wordpress.org/changeset?sfp_email=&sfph_mail=&reponame=&old=57950%40%2F&new=57950%40%2F&sfp_email=&sfph_mail=#file3
core.trac.wordpress.orghttps://core.trac.wordpress.org/changeset/57951/branches/6.4/src/wp-includes/blocks/avatar.php
www.wordfence.comhttps://www.wordfence.com/blog/2024/04/unauthenticated-stored-cross-site-scripting-vulnerability-patched-in-wordpress-core/

06 // ЦИТИРОВАНИЕ ДАННЫХ И ИСТОЧНИК

Для включения аналитической карточки в отчёты по безопасности, матрицы рисков или исследовательские публикации используйте стандартизированный формат цитирования:

Библиографическая ссылка (Plain text)

CVE Futuretools (2026). Анализ уязвимости CVE-2024-4439: WordPress Core is vulnerable to Stored Cross-Site Scripting via user display names in the Avatar block in various versions up to 6.5.2 due t. URL: https://cve.futuretools.ru/cve/CVE-2024-4439

BibTeX формат (LaTeX)

@misc{cve_futuretools_cve_2024_4439,
  title = {{CVE-2024-4439: WordPress Core is vulnerable to Stored Cross-Site Scripting via user display names in the Avatar block in various versions up to 6.5.2 due t}},
  author = {{CVE Futuretools}},
  year = {2026},
  howpublished = {\url{https://cve.futuretools.ru/cve/CVE-2024-4439}},
  note = {Оперативный инженерный анализ киберугроз}
}