CVE-2020-4049: wordpress +2 lainnya

csirt@kutim:~/threat-intel/cve/CVE-2020-4049

CVSS 2.4 · Low EPSS 2,5%

Kerentanan Improper Neutralization of Script-Related HTML Tags in a Web Page (Basic XSS) pada wordpress, fedoraproject fedora +1 lainnya. Skor CVSS 3.1 2.4 (Low) menurut NVD.

Deskripsi (NVD)

In affected versions of WordPress, when uploading themes, the name of the theme folder can be crafted in a way that could lead to JavaScript execution in /wp-admin on the themes page. This does require an admin to upload the theme, and is low severity self-XSS. This has been patched in version 5.4.2, along with all the previously affected versions via a minor release (5.3.4, 5.2.7, 5.1.6, 5.0.10, 4.9.15, 4.8.14, 4.7.18, 4.6.19, 4.5.22, 4.4.23, 4.3.24, 4.2.28, 4.1.31, 4.0.31, 3.9.32, 3.8.34, 3.7.34).

Rincian

Terbit di NVD: 12 Juni 2020
Terakhir diubah: 17 Juni 2026
Status NVD: Modified
CVSS 3.1: 2.4 (Low), sumber NVD
CVSS:3.1/AV:N/AC:L/PR:H/UI:R/S:U/C:N/I:L/A:N · uraikan di kalkulator
Jenis kelemahan (CWE): CWE-80: Improper Neutralization of Script-Related HTML Tags in a Web Page (Basic XSS)
CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting')
EPSS (30 hari): 2,5% peluang dieksploitasi; lebih tinggi dari 84,5% CVE lain

Produk dan versi terdampak

Vendor	Produk	Versi terdampak
wordpress	wordpress	Versi 3.7 hingga sebelum 3.7.34
wordpress	wordpress	Versi 3.8 hingga sebelum 3.8.34
wordpress	wordpress	Versi 3.9 hingga sebelum 3.9.32
wordpress	wordpress	Versi 4.0 hingga sebelum 4.0.31
wordpress	wordpress	Versi 4.1 hingga sebelum 4.1.31
wordpress	wordpress	Versi 4.2 hingga sebelum 4.2.28
wordpress	wordpress	Versi 4.3 hingga sebelum 4.3.24
wordpress	wordpress	Versi 4.4 hingga sebelum 4.4.23
wordpress	wordpress	Versi 4.5 hingga sebelum 4.5.22
wordpress	wordpress	Versi 4.6 hingga sebelum 4.6.19
wordpress	wordpress	Versi 4.7 hingga sebelum 4.7.18
wordpress	wordpress	Versi 4.8 hingga sebelum 4.8.14
wordpress	wordpress	Versi 4.9 hingga sebelum 4.9.15
wordpress	wordpress	Versi 5.0 hingga sebelum 5.0.10
wordpress	wordpress	Versi 5.1 hingga sebelum 5.1.6
wordpress	wordpress	Versi 5.2 hingga sebelum 5.2.7
wordpress	wordpress	Versi 5.3.0 hingga sebelum 5.3.4
wordpress	wordpress	Versi 5.4 hingga sebelum 5.4.2
fedoraproject	fedora	Versi 31
fedoraproject	fedora	Versi 32
debian	debian linux	Versi 8.0
debian	debian linux	Versi 9.0
debian	debian linux	Versi 10.0

> Data dari konfigurasi CPE di NVD.

Referensi dan perbaikan

https://wordpress.org/news/2020/06/wordpress-5-4-2-security-and-maintenance-release/ advisory vendor
https://github.com/WordPress/wordpress-develop/commit/404f397b4012fd9d382e55bf7d206c1317f01148 patch · advisory pihak ketiga
https://github.com/WordPress/wordpress-develop/security/advisories/GHSA-87h4-phjv-rm6p advisory pihak ketiga
https://lists.debian.org/debian-lts-announce/2020/07/msg00000.html mailing list · advisory pihak ketiga
https://lists.debian.org/debian-lts-announce/2020/09/msg00011.html mailing list · advisory pihak ketiga
https://www.debian.org/security/2020/dsa-4709 advisory pihak ketiga
https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/773N2ZV7QEMBG...
https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/ODNHXVJS25YVW...

Sumber: NVD · CVE.org · EPSS. Halaman ini disusun otomatis dari data tersebut; pembaruan terakhir 5 Okt 2026, 20:10 WITA. Kalau sistem di Perangkat Daerah memakai produk ini dan butuh bantuan, laporkan lewat kanal pelaporan.