Média Cross-site scripting

CVE-2024-13362 — Freemius <= 2.10.1 - Reflected DOM-Based Cross-Site Scripting via url Parameter

Multiple plugins and/or themes for WordPress are vulnerable to Reflected Cross-Site Scripting via the url parameter in various versions due to insufficient input sanitization and output escaping. This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that execute if they can successfully trick a user into performing an action such as clicking on a link.

Descrição oficial em inglês (tradução ainda não revisada).

Publicada em 01/05/2026 · Atualizada em 13/10/2026 · Fontes: NIST National Vulnerability Database, CVE Program (cve.org) e CISA ADP · CNA: Wordfence

Baixa

Quem explora e qual a prioridade

Nota de 0 a 100 que combina exploração confirmada, uso por ransomware e grupos APT, exploits públicos, EPSS e severidade.

Nenhum sinal de exploração nas fontes consultadas até agora.

Como a nota foi calculada

EPSS 0.3% (probabilidade de exploração em 30 dias)+3
Severidade técnica (medium)+3

A nota ordena a fila de correção; não substitui o contexto dos seus ativos (exposição à internet, criticidade, compensações).

Triagem

Está sendo explorada, qual a probabilidade de exploração, o que afeta e qual a severidade segundo as fontes.

Exploração

Não confirmada

Fora da CISA KEV — ausência de registro, não prova de que não é explorada.

EPSS FIRST

0,28%

à frente de 19% das CVEs pontuadas · 14/10/2026

Afeta

100plugins

Open User Map e mais 130

CVSS base

6.1

Média · 2 fonte(s)

Avaliação SSVC da CISA CISA

Três pontos de decisão que a CISA publica para as CVEs que avalia (SSVC 2.0.3). Uma decisão de priorização, não uma nota de severidade.

Exploração

Nenhuma

nenhuma · prova de conceito · ativa

Automatizável

Não

se um atacante consegue automatizar as etapas da cadeia de ataque

Impacto técnico

Parcial

parcial · controle total do componente vulnerável

Remediação

Correções e mitigações documentadas pelas fontes — com link para o aviso original.

Nenhuma correção documentada pelas fontes consultadas. Isso não significa que não exista: verifique o aviso do fabricante.

Primeiras 24 horas

Ordenado a partir dos próprios campos do registro — exposição primeiro, porque não se corrige o que não se encontrou. Ponto de partida, gerado por regras.

Identifique ativos expostos que executam as combinações de fabricante/produto/versão afetadas (100plugins Open User Map, 5starplugins Dynamic Copyright Year, 5starplugins Easy Age Verify…).
O ataque é pela rede e não exige privilégios: restrinja a exposição (ACLs, VPN, WAF) até corrigir.
Nenhuma correção documentada nas fontes: reduza a exposição e monitore o aviso do fabricante.
A exploração exige interação do usuário: reforce filtros de e-mail/web e alerte os usuários afetados.
Procure nos logs disponíveis sinais de tentativa de exploração compatíveis com a classe da falha (cross-site scripting), erros e anomalias de autenticação.

Escopo afetado

Fabricante, produto e versões como as fontes os descrevem.

Fabricante	Produto	Versões	Status	Fonte
100plugins	Open User Map	≤ 1.4.0	Vulnerável	CVE Program (cve.org) e CISA ADP
5starplugins	Dynamic Copyright Year	≤ 1.0.4	Vulnerável	CVE Program (cve.org) e CISA ADP
5starplugins	Easy Age Verify	≤ 1.8.5	Vulnerável	CVE Program (cve.org) e CISA ADP
5starplugins	Featured Images in RSS for Mailchimp & More	≤ 1.6.3	Vulnerável	CVE Program (cve.org) e CISA ADP
5starplugins	Marijuana Age Verify	≤ 1.5.5	Vulnerável	CVE Program (cve.org) e CISA ADP
Afthemes	WP Post Author – Author Box, Multiple Authors, Guest Authors & Custom Avatars	≤ 3.8.3	Vulnerável	CVE Program (cve.org) e CISA ADP
Bensibley	Independent Analytics	≤ 2.9.7	Vulnerável	CVE Program (cve.org) e CISA ADP
Blackandwhitedigital	TreePress – Easy Family Trees & Ancestor Profiles	≤ 3.0.6	Vulnerável	CVE Program (cve.org) e CISA ADP
Blockspare	BlockSpare — News, Magazine and Blog Addons for (Gutenberg) Block Editor	≤ 3.2.6	Vulnerável	CVE Program (cve.org) e CISA ADP
Bouncingsprout	Ultimeter	≤ 3.0.5	Vulnerável	CVE Program (cve.org) e CISA ADP
Bplugins	Advanced Scrollbar – Custom Scrollbar Styling and Behavior	≤ 1.1.3	Vulnerável	CVE Program (cve.org) e CISA ADP
Bplugins	bBlocks – Essential Gutenberg Blocks & Patterns Collection	≤ 1.9.8	Vulnerável	CVE Program (cve.org) e CISA ADP
Bplugins	HTML5 Audio Player – The Ultimate No-Code Podcast, MP3 & Audio Player	≤ 2.2.27	Vulnerável	CVE Program (cve.org) e CISA ADP
Bplugins	PDF Poster – Display PDF Files with Custom Viewer	≤ 2.2.0	Vulnerável	CVE Program (cve.org) e CISA ADP
Cleverplugins	Security Ninja – WordPress Security & Firewall	≤ 5.222	Vulnerável	CVE Program (cve.org) e CISA ADP
Codesavory	Knowledge Base documentation & wiki plugin – BasePress Docs	≤ 2.16.3.3	Vulnerável	CVE Program (cve.org) e CISA ADP
Cyberhobo	Geo Mashup	≤ 1.13.15	Vulnerável	CVE Program (cve.org) e CISA ADP
Cyclonecode	Custom PHP Settings	≤ 2.3.1	Vulnerável	CVE Program (cve.org) e CISA ADP
Damian-gora	Justified Gallery	≤ 1.9.0	Vulnerável	CVE Program (cve.org) e CISA ADP
Dashlabsltd	YASR – Yet Another Star Rating Plugin for WordPress	≤ 3.4.12	Vulnerável	CVE Program (cve.org) e CISA ADP
Davidanderson	Internal Link Juicer: SEO Auto Linker for WordPress	≤ 2.24.6	Vulnerável	CVE Program (cve.org) e CISA ADP
Elespare	EleSpare – News, Magazine and Blog Addons for Elementor	≤ 3.3.2	Vulnerável	CVE Program (cve.org) e CISA ADP
Elliotvs	Coupon Affiliates – Affiliate Plugin for WooCommerce	≤ 5.17.2	Vulnerável	CVE Program (cve.org) e CISA ADP
Enweby	Full Screen Background	≤ 2.0.2	Vulnerável	CVE Program (cve.org) e CISA ADP
Essekia	Tablesome Table – Contact Form DB – WPForms, CF7, Gravity, Forminator, Fluent	≤ 1.1.13	Vulnerável	CVE Program (cve.org) e CISA ADP
Fooplugins	Gallery by FooGallery	≤ 2.4.27	Vulnerável	CVE Program (cve.org) e CISA ADP
Fooplugins	Lightbox & Modal Popup WordPress Plugin – FooBox	≤ 2.7.33	Vulnerável	CVE Program (cve.org) e CISA ADP
Fooplugins	Notification Bar, Announcement and Cookie Notice WordPress Plugin – FooBar	≤ 2.1.34	Vulnerável	CVE Program (cve.org) e CISA ADP
Fullworks	Anti-Spam Protection – No API Key, GDPR Friendly	≤ 2.3.7	Vulnerável	CVE Program (cve.org) e CISA ADP
Fullworks	Display Eventbrite Events	≤ 6.1.10	Vulnerável	CVE Program (cve.org) e CISA ADP
Gallerycreator	Mixed Media Gallery Blocks	≤ 3.2.4.4	Vulnerável	CVE Program (cve.org) e CISA ADP
Gn Themes	WP Shortcodes Plugin — Shortcodes Ultimate	≤ 7.3.3	Vulnerável	CVE Program (cve.org) e CISA ADP
Gowebsmarty	WP Encryption – One Click Free SSL Certificate & SSL / HTTPS Redirect, Security & SSL Scan	≤ 7.7.0	Vulnerável	CVE Program (cve.org) e CISA ADP
Hasanazizul	Text To Speech TTS Accessibility	≤ 1.7.34	Vulnerável	CVE Program (cve.org) e CISA ADP
Hkdigitalagency	Payment Gateway for ACBA BANK	≤ 1.2.6	Vulnerável	CVE Program (cve.org) e CISA ADP
Imtiazrayhan	WP Coupons and Deals – Coupon Plugin For Affiliate Marketers	≤ 3.2.2	Vulnerável	CVE Program (cve.org) e CISA ADP
Inavii	Inavii Social Feed	≤ 2.7.0	Vulnerável	CVE Program (cve.org) e CISA ADP
Infornweb	Blog Designer Pack – Blog, Post Grid, Post Slider, Post Carousel, Category Post, News	≤ 3.4.9	Vulnerável	CVE Program (cve.org) e CISA ADP
Infornweb	Logo Showcase – Responsive Logo Carousel, Logo Slider & Logo Grid	≤ 3.2.7	Vulnerável	CVE Program (cve.org) e CISA ADP
Infornweb	Post List Designer – Category Post, Recent Post, Post List	≤ 3.3.7	Vulnerável	CVE Program (cve.org) e CISA ADP
Infosatech	RevivePress – Keep your Old Content Evergreen	≤ 1.5.8	Vulnerável	CVE Program (cve.org) e CISA ADP
Interactivegeomaps	MapGeo – Interactive Geo Maps	≤ 1.6.22	Vulnerável	CVE Program (cve.org) e CISA ADP
Invisnet	WP fail2ban – Advanced Security	≤ 5.3.4	Vulnerável	CVE Program (cve.org) e CISA ADP
Josevega	Bulk Edit Posts and Products in Spreadsheet	≤ 2.25.16	Vulnerável	CVE Program (cve.org) e CISA ADP
Josevega	Disable Payment Methods based on cart conditions for WooCommerce	≤ 1.16.3	Vulnerável	CVE Program (cve.org) e CISA ADP
Josevega	WP Page Templates	≤ 1.1.16	Vulnerável	CVE Program (cve.org) e CISA ADP
Kaira	StoreCustomizer – A plugin to Customize all WooCommerce Pages	≤ 2.5.9	Vulnerável	CVE Program (cve.org) e CISA ADP
Kaizencoders	URL Shortify – Simple and Easy URL Shortener	≤ 1.10.4	Vulnerável	CVE Program (cve.org) e CISA ADP
Koen12344	Post to Google My Business (Google Business Profile)	≤ 3.1.28	Vulnerável	CVE Program (cve.org) e CISA ADP
Kofimokome	Message Filter for Contact Form 7	≤ 1.6.3.2	Vulnerável	CVE Program (cve.org) e CISA ADP
Litonice13	Master Addons For Elementor – Widgets, Extensions, Theme Builder, Popup Builder & Template Kits	≤ 2.0.7.2	Vulnerável	CVE Program (cve.org) e CISA ADP
Mapster	Mapster WP Maps	≤ 1.9.0	Vulnerável	CVE Program (cve.org) e CISA ADP
Mattpramschufer	Pay For Post with WooCommerce	≤ 3.1.26	Vulnerável	CVE Program (cve.org) e CISA ADP
Meowcrew	Role Based Pricing for Woo by Meow Crew	≤ 1.6.0	Vulnerável	CVE Program (cve.org) e CISA ADP
Mhmrajib	AidWP – Donation & Payment Forms (Stripe Powered)	≤ 3.2.6	Vulnerável	CVE Program (cve.org) e CISA ADP
Mhmrajib	TopNewsWp – Display Tikcer News, RSS Feed Widget and Many More	≤ 2.4.1	Vulnerável	CVE Program (cve.org) e CISA ADP
Mhmrajib	WP Books Gallery – Build Stunning Book Showcases & Libraries in Minutes	≤ 4.6.8	Vulnerável	CVE Program (cve.org) e CISA ADP
Mihail-barinov	Share This Image	≤ 2.07	Vulnerável	CVE Program (cve.org) e CISA ADP
Mikewire Rocksolid	Announcement & Notification Banner – Bulletin	≤ 3.12.1	Vulnerável	CVE Program (cve.org) e CISA ADP
Mohsinoffline	Secure Gateway for Authorize.net and WooCommerce by Pledged Plugins	≤ 6.1.13	Vulnerável	CVE Program (cve.org) e CISA ADP
Mr2p	Meta Field Block – Display custom fields in the Block Editor without coding	≤ 1.3.3	Vulnerável	CVE Program (cve.org) e CISA ADP
Mte90	Glossary	≤ 2.2.38	Vulnerável	CVE Program (cve.org) e CISA ADP
Nicheaddons	Events Addon for Elementor	≤ 2.2.2	Vulnerável	CVE Program (cve.org) e CISA ADP
Nicheaddons	Primary Addon for Elementor	≤ 1.6.0	Vulnerável	CVE Program (cve.org) e CISA ADP
Nicheaddons	Restaurant & Cafe Addon for Elementor	≤ 1.5.8	Vulnerável	CVE Program (cve.org) e CISA ADP
Nitin247	Place Order Without Payment for WooCommerce	≤ 2.6.5	Vulnerável	CVE Program (cve.org) e CISA ADP
Nitin247	Thank You Page for WooCommerce	≤ 4.2.0	Vulnerável	CVE Program (cve.org) e CISA ADP
OceanWP	Ocean Extra	≤ 2.4.2	Vulnerável	CVE Program (cve.org) e CISA ADP
Oxilab	Product Layouts for WooCommerce	≤ 1.3.1	Vulnerável	CVE Program (cve.org) e CISA ADP
Pagup	Automatic Internal Links for SEO by Pagup	≤ 2.0.0	Vulnerável	CVE Program (cve.org) e CISA ADP
Pagup	Bulk Auto Image Alt Text (Alt tag, Alt attribute) optimizer (image SEO)	≤ 2.1.0	Vulnerável	CVE Program (cve.org) e CISA ADP
Paretodigital	Embedder for Google Reviews	≤ 1.6.6	Vulnerável	CVE Program (cve.org) e CISA ADP
Paretodigital	Send Users Email – Email Subscribers, Email Marketing Newsletter	≤ 1.5.10	Vulnerável	CVE Program (cve.org) e CISA ADP
Passionatebrains	AEH Speed Optimization: Browser Cache, Optimized Minify, Lazy Loading & Image Optimization	≤ 2.9.2	Vulnerável	CVE Program (cve.org) e CISA ADP
Passionatebrains	AWCA – The Great Analytics Insights for Your eStore	≤ 3.12.0	Vulnerável	CVE Program (cve.org) e CISA ADP
Passionatebrains	GA4WP – Analytics Dashboard for the Website	≤ 2.6.0	Vulnerável	CVE Program (cve.org) e CISA ADP
Peterschulznl	Code Manager	≤ 1.0.40	Vulnerável	CVE Program (cve.org) e CISA ADP
Peterschulznl	WP Data Access – App Builder for Tables, Forms, Charts, Maps & Dashboards	≤ 5.5.31	Vulnerável	CVE Program (cve.org) e CISA ADP
Pluginandplay	Post Slider and Post Carousel with Post Vertical Scrolling Widget – A Responsive Post Slider	≤ 3.2.7	Vulnerável	CVE Program (cve.org) e CISA ADP
Plugins360	Automatic YouTube Gallery	≤ 2.5.5	Vulnerável	CVE Program (cve.org) e CISA ADP
Pluginscafe	Smart phone field for Gravity Forms	≤ 2.1.6	Vulnerável	CVE Program (cve.org) e CISA ADP
Pluginsware	Advanced Classifieds & Directory Pro	≤ 3.2.4	Vulnerável	CVE Program (cve.org) e CISA ADP
Prasadkirpekar	WP Meta and Date Remover	≤ 2.3.4	Vulnerável	CVE Program (cve.org) e CISA ADP
Premmerce	Premmerce Permalink Manager for WooCommerce	≤ 2.3.11	Vulnerável	CVE Program (cve.org) e CISA ADP
Premmerce	Premmerce Product Filter for WooCommerce	≤ 3.7.3	Vulnerável	CVE Program (cve.org) e CISA ADP
Princeahmed	Dracula Dark Mode – Accessibility, Reading Mode & Dark Mode for WordPress	≤ 1.2.7	Vulnerável	CVE Program (cve.org) e CISA ADP
Princeahmed	File Manager for Google Drive – Integrate Google Drive	≤ 1.4.9	Vulnerável	CVE Program (cve.org) e CISA ADP
Princeahmed	Radio Player – Live Shoutcast, Icecast and Any Audio Stream Player	≤ 2.0.82	Vulnerável	CVE Program (cve.org) e CISA ADP
Rebelcode	Spotlight Social Feeds – Block, Shortcode, and Widget	≤ 1.7.0	Vulnerável	CVE Program (cve.org) e CISA ADP
Saad Iqbal	Post SMTP – Complete Email Deliverability and SMTP Solution with Email Logs, Alerts, Backup SMTP & Mobile App	≤ 3.0.0	Vulnerável	CVE Program (cve.org) e CISA ADP
Samdani	Solid Testimonials – Testimonial Slider, Video Testimonials & Customer Reviews	≤ 3.2.8	Vulnerável	CVE Program (cve.org) e CISA ADP
Samdani	Team Members – A WordPress Team Plugin with Gallery, Grid, Carousel, Slider, Table, List, and More	≤ 2.5.8	Vulnerável	CVE Program (cve.org) e CISA ADP
Sebet	Go Fetch Jobs (for WP Job Manager)	≤ 1.8.4.8.1	Vulnerável	CVE Program (cve.org) e CISA ADP
Seezee	Five-Star Ratings Shortcode	≤ 1.2.56	Vulnerável	CVE Program (cve.org) e CISA ADP
Senols	AI Puffer – Chat. Create. Automate. (formerly AI Power)	≤ 1.8.99	Vulnerável	CVE Program (cve.org) e CISA ADP
Sjaved	Easy Social Feed – Social Photos Gallery and Post Feed for WordPress	≤ 6.6.5	Vulnerável	CVE Program (cve.org) e CISA ADP
Smartwpress	Music Player for Elementor – Audio Player & Podcast Player	≤ 2.4.1	Vulnerável	CVE Program (cve.org) e CISA ADP
Speedify	Auto-Install Free SSL – Generate & Install Free SSL Certificates	≤ 4.5.0	Vulnerável	CVE Program (cve.org) e CISA ADP
Spicethemes	Carousel, Recent Post Slider and Banner Slider	≤ 2.1	Vulnerável	CVE Program (cve.org) e CISA ADP
Spiderdevs	EazyDocs – AI Powered Knowledge Base, Wiki, Documentation & FAQ Builder	≤ 2.5.7	Vulnerável	CVE Program (cve.org) e CISA ADP
Spiderdevs	Forumax – AI Powered Advanced Community Forum Plugin	≤ 1.2.7	Vulnerável	CVE Program (cve.org) e CISA ADP
Streamweasels	StreamWeasels Twitch Integration	≤ 1.9.2	Vulnerável	CVE Program (cve.org) e CISA ADP
Takanakui	Menu Image, Icons made easy	≤ 3.12	Vulnerável	CVE Program (cve.org) e CISA ADP
Takanakui	WP Mobile Menu – The Mobile-Friendly Responsive Menu	≤ 2.8.6	Vulnerável	CVE Program (cve.org) e CISA ADP
Theafricanboss	Checkout with Cash App on WooCommerce	≤ 6.0.2	Vulnerável	CVE Program (cve.org) e CISA ADP
Themelocation	Custom WooCommerce Checkout Fields Editor	≤ 1.3.4	Vulnerável	CVE Program (cve.org) e CISA ADP
Themelocation	Remove Add to Cart WooCommerce	≤ 1.4.7	Vulnerável	CVE Program (cve.org) e CISA ADP
Tickera	Restrict – membership, site, content and user access restrictions for WordPress	≤ 2.3.0	Vulnerável	CVE Program (cve.org) e CISA ADP
Tobias Conrad	WOW Styler for CF7 – Visual Styler for Contact Form 7 Forms	≤ 1.7.0	Vulnerável	CVE Program (cve.org) e CISA ADP
Tobiasbg	TablePress – Tables in WordPress made easy	≤ 3.0.2	Vulnerável	CVE Program (cve.org) e CISA ADP
Toddhalfpenny	Widgets on Pages	≤ 1.7	Vulnerável	CVE Program (cve.org) e CISA ADP
Tonyzeoli	Radio Station by netmix® – Manage and play your Show Schedule in WordPress!	≤ 2.5.9	Vulnerável	CVE Program (cve.org) e CISA ADP
Tripetto	WordPress form builder plugin for contact forms, surveys and quizzes – Tripetto	≤ 8.0.7	Vulnerável	CVE Program (cve.org) e CISA ADP
Unitecms	Unlimited Elements For Elementor	≤ 1.5.140	Vulnerável	CVE Program (cve.org) e CISA ADP
Uriahs-victor	Kikote – Location Picker at Checkout & Google Address AutoFill Plugin for WooCommerce	≤ 1.10.6	Vulnerável	CVE Program (cve.org) e CISA ADP
Vinod-dalvi	Ivory Search – WordPress Search Plugin	≤ 5.5.8	Vulnerável	CVE Program (cve.org) e CISA ADP
Webba-agency	Easy Appointment Booking & Scheduling System – Webba Booking Calendar	≤ 5.0.57	Vulnerável	CVE Program (cve.org) e CISA ADP
Webfactory	AI Bud – AI Content Generator, AI Chatbot, ChatGPT, Gemini, GPT-4o	≤ 1.7.2	Vulnerável	CVE Program (cve.org) e CISA ADP
Webheadllc	Contact Form 7 Multi-Step Forms	≤ 4.4.1	Vulnerável	CVE Program (cve.org) e CISA ADP
Wordplus	Better Messages – Live Chat, Chat Rooms, Real-Time Messaging & Private Messages	≤ 2.6.7	Vulnerável	CVE Program (cve.org) e CISA ADP
Wpbits	WPBITS Addons For Elementor Page Builder	≤ 1.7	Vulnerável	CVE Program (cve.org) e CISA ADP
Wpdever	WP Notification Bell	≤ 1.4.2	Vulnerável	CVE Program (cve.org) e CISA ADP
Wpjoli	Joli Table Of Contents	≤ 2.6.0	Vulnerável	CVE Program (cve.org) e CISA ADP
Wpmagics	Delete Posts automatically	≤ 3.9.6	Vulnerável	CVE Program (cve.org) e CISA ADP
Wpsaad	Image Alt Text Manager – Bulk & Dynamic Alt Tags For image SEO Optimization + AI	≤ 1.6.3	Vulnerável	CVE Program (cve.org) e CISA ADP
Wpspeedo	Team Members Showcase	≤ 3.3.0	Vulnerável	CVE Program (cve.org) e CISA ADP
Xplodedthemes	WPIDE – File Manager & Code Editor	≤ 3.5.1	Vulnerável	CVE Program (cve.org) e CISA ADP
Xplodedthemes	XT Floating Cart for WooCommerce	≤ 2.8.4	Vulnerável	CVE Program (cve.org) e CISA ADP
Xplodedthemes	XT Quick View for WooCommerce	≤ 2.1.5	Vulnerável	CVE Program (cve.org) e CISA ADP
Xplodedthemes	XT Variation Swatches for WooCommerce	≤ 1.9.4	Vulnerável	CVE Program (cve.org) e CISA ADP
Yuvalo	Goal Tracker – Custom Event Tracking for GA4	≤ 1.1.5	Vulnerável	CVE Program (cve.org) e CISA ADP

Características do ataque

O vetor CVSS decodificado. Descreve o ataque, não a sua exposição a ele.

Vetor de ataque

Rede

Complexidade

Baixa

Privilégios exigidos

Nenhum

Interação do usuário

Necessária

Escopo

Alterado

Confidencialidade

Baixo

Integridade

Baixo

Disponibilidade

Nenhum

Todas as pontuações coletadas

As fontes pontuam de forma independente e podem discordar; cada linha diz quem pontuou e em qual versão.

Nota	Versão	Severidade	Explor.	Impacto	Pontuado por
6.1	CVSS 3.1	Média	2.8	2.7	security@wordfence.com via NIST National Vulnerability Database
6.1	CVSS 3.1	Média	—	—	Wordfence via CVE Program (cve.org) e CISA ADP

CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N (nota exibida no topo: security@wordfence.com)

Fraqueza MITRE

Classe de fraqueza segundo o catálogo CWE do MITRE.

CWE-79 · Cross-site Scripting (XSS)

Outras CVEs com esta fraqueza →

EPSS ao longo do tempo FIRST

13/10/2026 → 14/10/2026 · 2 leitura(s) · máximo 0.28%

Detecção

Derivado do vetor CVSS e da classe da fraqueza. Pontos de partida, não regras testadas.

Priorize telemetria de borda para o componente exposto na rede (proxy, WAF, IDS/IPS).
Monitore relatórios de violação de CSP e payloads de script em parâmetros refletidos.

logs web/proxy/WAFIDS/IPS de redelogs da aplicação

Linha do tempo

O que aconteceu com esta CVE, do mais recente ao mais antigo.

2026
Produtos afetados adicionados · sebet/go fetch jobs (for wp job manager), 5starplugins/dynamic copyright year, peterschulznl/code manager, bplugins/adva
13/10/2026 · CVE Program (cve.org) e CISA ADP
Avaliação SSVC atualizada
13/10/2026 · CVE Program (cve.org) e CISA ADP
Ficha publicada
13/10/2026
CVSS alterado · 6.1
13/10/2026 · NIST National Vulnerability Database
Status na fonte alterado · → Deferred
13/10/2026 · NIST National Vulnerability Database
Registro criado nesta base
13/10/2026 · NIST National Vulnerability Database
CVE publicada
01/05/2026 · Wordfence

Atividade das fontes

Leituras que se repetem foram contadas em vez de listadas.

1× Descrição oficial atualizada · 13/10/2026 – 13/10/2026

Referências

24 no registro

plugins.trac.wordpress.org/changeset/3249130/
NIST National Vulnerability Database
plugins.trac.wordpress.org/browser/internal-links/trunk/vendor/freemius/wordpress-sdk/assets/js/
NIST National Vulnerability Database
plugins.trac.wordpress.org/browser/unlimited-elements-for-elementor/trunk/provider/freemius/asse
NIST National Vulnerability Database
plugins.trac.wordpress.org/browser/master-addons/trunk/lib/freemius/assets/js/pricing/freemius-p
NIST National Vulnerability Database
plugins.trac.wordpress.org/browser/tablepress/trunk/libraries/freemius/assets/js/pricing/freemiu
NIST National Vulnerability Database
plugins.trac.wordpress.org/changeset/3235286/
NIST National Vulnerability Database
plugins.trac.wordpress.org/browser/wp-meta-and-date-remover/tags/2.3.4/freemius/assets/js/pricin
NIST National Vulnerability Database
plugins.trac.wordpress.org/browser/wpide/tags/3.5.0/dist/pricing/freemius-pricing.js
NIST National Vulnerability Database
plugins.trac.wordpress.org/browser/interactive-geo-maps/tags/1.6.21/vendor/freemius/wordpress-sd
NIST National Vulnerability Database
plugins.trac.wordpress.org/browser/foobox-image-lightbox/tags/2.7.33/freemius/assets/js/pricing/
NIST National Vulnerability Database
plugins.trac.wordpress.org/browser/featured-images-for-rss-feeds/trunk/includes/freemius/assets/
NIST National Vulnerability Database
plugins.trac.wordpress.org/browser/woo-permalink-manager/tags/2.3.11/assets/admin/js/pricing-pag
NIST National Vulnerability Database
plugins.trac.wordpress.org/browser/widgets-on-pages/trunk/freemius/assets/js/pricing/freemius-pr
NIST National Vulnerability Database
plugins.trac.wordpress.org/browser/foogallery/tags/2.4.27/freemius/assets/js/pricing/freemius-pr
NIST National Vulnerability Database
plugins.trac.wordpress.org/browser/ocean-extra/trunk/includes/freemius/assets/js/pricing/freemiu
NIST National Vulnerability Database
plugins.trac.wordpress.org/browser/independent-analytics/trunk/freemius/assets/js/pricing/freemi
NIST National Vulnerability Database
plugins.trac.wordpress.org/browser/pdf-poster/trunk/freemius/assets/js/pricing/freemius-pricing.
NIST National Vulnerability Database
plugins.trac.wordpress.org/browser/spotlight-social-photo-feeds/trunk/ui/freemius-pricing/freemi
NIST National Vulnerability Database
plugins.trac.wordpress.org/changeset/3229060/
NIST National Vulnerability Database
plugins.trac.wordpress.org/browser/shortcodes-ultimate/trunk/freemius/assets/js/pricing/freemius
NIST National Vulnerability Database
www.wordfence.com/threat-intel/vulnerabilities/id/d694491c-c0f5-4418-805a-db792ea4f712
NIST National Vulnerability Database
plugins.trac.wordpress.org/browser/simply-gallery-block/trunk/freemius/assets/js/pricing/freemiu
NIST National Vulnerability Database
plugins.trac.wordpress.org/browser/menu-image/trunk/freemius/assets/js/pricing/freemius-pricing.
NIST National Vulnerability Database
plugins.trac.wordpress.org/browser/add-search-to-menu/trunk/includes/freemius/assets/js/pricing/
NIST National Vulnerability Database

Em outras páginas do site

100plugins
todas as CVEs deste fabricante

Cross-site scripting
mesma classe

CWE-79
outras páginas com esta fraqueza

CVEs relacionadas (mesmos produtos)

Média CVE-2026-86803 Ocean Extra <= 2.6.0 - Unauthenticated Arbitrary Shortcode Execution via 'oceanwp_library' Shortcode Template 14 h
Média CVE-2026-93883 Advanced Classifieds & Directory Pro <= 3.4.4 - Authenticated (Custom+) Stored Cross-Site Scripting via 'phone' Parameter 5 d
Média CVE-2026-92243 Ivory Search <= 5.5.18 - Reflected DOM-Based Cross-Site Scripting via 's' Parameter 12 d
Média CVE-2026-11356 Ivory Search <= 5.5.15 - Authenticated (Administrator+) Stored Cross-Site Scripting via 'menu_title' and 'menu_magnifier_color' Settings 26/06/2026
Média CVE-2026-9281 Master Addons For Elementor <= 3.1.0 - Authenticated (Author+) Stored Cross-Site Scripting via 'jtlma_custom_js' Page Setting (Custom JS Extension) 05/06/2026
Média CVE-2026-7552 Geo Mashup <= 1.13.19 - Missing Authorization to Unauthenticated Plugin Settings Disclosure via 'geo_mashup_content' Parameter 28/05/2026

Não consta em nenhuma fonte consultada

Listado em vez de deixado em branco: um campo vazio e um não medido parecem iguais na tela, e só um deles é motivo para procurar em outro lugar.

Nenhuma versão corrigida, patch ou mitigação documentada.
Nenhum IOC confirmado (IPs, domínios, hashes ou artefatos de malware) fornecido.
Nenhum inventário de ativos, controle compensatório ou evidência de implantação de patch da sua organização.
Nenhuma captura de tráfego de exploração, amostra de log ou caso de incidente.

Respondido a partir deste registro

Texto montado apenas com os campos acima — sem afirmações adicionais.

O que os defensores devem saber primeiro?

CVE-2024-13362 é "Freemius <= 2.10.1 - Reflected DOM-Based Cross-Site Scripting via url Parameter", de severidade Média. Afeta Open User Map (100plugins); as versões estão na tabela de escopo. Não está na CISA KEV, o que não exclui exploração. CVSS 6.1 descreve a severidade técnica. EPSS 0.28% estima a probabilidade de exploração em 30 dias; nenhum dos dois substitui o contexto dos seus ativos. Verifique primeiro se ativos expostos ou críticos executam as versões afetadas, aplique as correções ou mitigações do fabricante e preserve logs para análise.

Comentários

Discussão técnica moderada. Leia as regras da comunidade.

Nenhum comentário ainda.

Entre ou crie uma conta para comentar e sugerir correções.