WordPress Register Plus bővítmény cross-site scripting sérülékenységek

2010. november 26. 11:11

CH azonosító

CH-3986

Angol cím

WordPress Register Plus Plugin Multiple Cross-Site Scripting Vulnerabilities

Felfedezés dátuma

2010.11.25.

Súlyosság

Alacsony

Érintett rendszerek

Érintett verziók

Összefoglaló

A Register Plus plugin for WordPress olyan sérülékenysége vált ismertté, amelyet a támadók kihasználhatnak cross-site scripting (XSS/CSS) támadások okozására.

Leírás

A wp-login.php-nak a (amikor „action” értéke „register”) „firstname”, „lastname”, „website”, „aim”, „yahoo”, „jabber”, „about”, „pass1” és „pass2” paraméterekkel átadott bemeneti adat nem kerül megfelelően ellenőrzésre, a felhasználónak történő visszaküldés előtt. Ez kihasználható tetszőleges HTML és script kód futtatására a felhasználó böngészőjének munkamenetében, az érintett oldallal kapcsolatosan.

A sérülékenységeket a 3.5.1-es verzióban jelentették. Más verziók is érintettek lehetnek.