Cosenary Instagram-PHP-API contains reflected XSS vulnerability

中 6.1CVE-2019-14470 · GHSA-gcv6-2v9c-rj48 · 04/09/2019 公開 · 17/06/2026 更新

要点

CVE-2019-14470 は cosenary/instagram, user pro (userproplugin) に影響する深刻度「中」 (CVSS 6.1) の脆弱性です。
今後30日間に悪用される確率（EPSS）：83.0%（全脆弱性の 99.7% より高い）。
修正版の情報はまだありません。参考情報のベンダー勧告を確認してください。

パッケージ	影響を受けるバージョン	修正済みバージョン
cosenary/instagram Packagist	`≤ 2.3`	修正版なし
user pro userproplugin	`≤ 4.9.32`	修正版なし

概要

cosenary Instagram-PHP-API (aka Instagram PHP API V2), used in the UserPro plugin through 4.9.32 for WordPress, is vulnerable to cross-site scripting via the example/success.php error_description parameter.

Vulnerable code:

    if (isset($_GET['error'])) {
        echo 'An error occurred: ' . $_GET['error_description'];
    }

Proof-of-Concept:

https://domain.tld/wp-content/plugins/userpro/lib/instagram/vendor/cosenary/instagram/example/success.php?error=&error_description=<PAYLOAD>

NVD の説明

cosenary Instagram-PHP-API (aka Instagram PHP API V2), as used in the UserPro plugin through 4.9.32 for WordPress, has XSS via the example/success.php error_description parameter.

参考情報

nvd.nist.gov/vuln/detail/CVE-2019-14470 · ADVISORY
cosenary/Instagram-PHP-API · PACKAGE
cosenary/Instagram-PHP-API · WEB
wpvulndb.com/vulnerabilities/9815 · WEB
exploit-db.com/exploits/47304 · WEB
packetstormsecurity.com/files/154206/WordPress-UserPro-4.9.32-Cross-Site-Scripting.html · WEB
cosenary/Instagram-PHP-API · Third Party Advisory

これらの製品をお使いですか？サイトをスキャンして、脆弱なバージョンが公開されていないか確認しましょう。

無料でサイトをスキャン

要点

CVE-2019-14470 は cosenary/instagram, user pro (userproplugin) に影響する深刻度「中」 (CVSS 6.1) の脆弱性です。

今後30日間に悪用される確率（EPSS）：83.0%（全脆弱性の 99.7% より高い）。

修正版の情報はまだありません。参考情報のベンダー勧告を確認してください。

パッケージ

影響を受けるバージョン

修正済みバージョン

cosenary/instagram

Packagist

≤ 2.3

修正版なし

user pro

userproplugin

≤ 4.9.32