CVE-2021-47927
ŚrednieCVSS 6.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 9 - wyżej niż 9% wszystkich znanych CVE
Streszczenie
Wtyczka WordPress WP Symposium Pro 2021.10 zawiera podatność na trwałe XSS, umożliwiającą uwierzytelnionym atakującym wstrzykiwanie złośliwych skryptów przez niewystarczającą sanityzację parametru nazwy forum. Atakujący mogą wysyłać żądania POST do strony ustawień administracyjnych z ładunkami JavaScript w parametrze wps_admin_forum_add_name, które są przechowywane i wykonują się podczas dostępu do forum.
Ocena ryzyka
Atakujący może wstrzyknąć skrypty, które wykonują się u użytkowników odwiedzających forum, co może prowadzić do kradzieży danych lub przejęcia sesji.
Rekomendacja
Zaktualizuj wtyczkę WP Symposium Pro do najnowszej wersji zawierającej poprawkę bezpieczeństwa.
Oryginalny opis (angielski, źródło NVD)
WordPress Plugin WP Symposium Pro 2021.10 contains a stored cross-site scripting vulnerability that allows authenticated attackers to inject malicious scripts by exploiting insufficient sanitization of the forum name parameter. Attackers can submit POST requests to the admin setup page with JavaScript payloads in the wps_admin_forum_add_name parameter, which are stored and executed when the forum is accessed.