WordPress Newsletter Plugin cross-site scripting sérülékenység

2013. május 16. 09:02

CH azonosító

CH-9203

Angol cím

WordPress Newsletter Plugin "alert" Cross-Site Scripting Vulnerability

Felfedezés dátuma

2013.05.14.

Súlyosság

Alacsony

Érintett rendszerek

Newsletter Plugin
WordPress

Érintett verziók

WordPress Newsletter Plugin 3.x

Összefoglaló

A WordPress Newsletter bővítményének olyan sérülékenységét jelentették, amelyet kihasználva a támadók cross-site scripting (XSS/CSS) támadásokat hajthatnak végre.

Leírás

Az “alert” paraméter által a wp-content/plugins/newsletter/subscription/page.php részére átadott bemeneti adatok nincsenek megfelelően megtisztítva, mielőtt visszaadásra kerülnének. Ezt kihasználva tetszőleges HTML és script kódot lehet futtatni a felhasználó böngészőjének munkamenetében az érintett oldal vonatkozásában.

A sérülékenységet a 3.2.6 verzióban jelentették, de korábbi kiadások is érintettek lehetnek.